Azure P2S کلائنٹ کی تصدیق: Entra، سرٹیفکیٹ یا RADIUS
Entra سائن اِن، کلائنٹ سرٹیفکیٹس اور RADIUS کے لیے مختلف Azure VPN کلائنٹس اور پروفائلز درکار ہیں۔ پہلے طریقہ، پھر کلائنٹ، پھر پروفائل منتخب کریں۔
انسٹالر چلتا ہے، پروفائل درآمد ہوتی ہے، اور سائن اِن مرحلے پر کنکشن ناکام ہو جاتا ہے۔ ان میں سے زیادہ تر ٹکٹ کلائنٹ میں خرابی نہیں: OpenVPN کے موافق ایپلیکیشن سرنگ لے جا سکتی ہے اور پھر بھی نہیں جانتی کہ Microsoft Entra سائن اِن کیسے کرنا ہے۔ وہ ترتیب جو چکر سے بچاتی ہے طریقہ، پھر کلائنٹ، پھر پروفائل ہے۔ وہ تصدیقی طریقہ منتخب کریں جس کے لیے گیٹ وے کنفیگر ہے، ایسا کلائنٹ منتخب کریں جسے Microsoft اس طریقے کے لیے دستاویز کرتا ہے، اور صرف اس کے بعد وہ پروفائل بنائیں جس کی اس کلائنٹ کو توقع ہے۔ نیچے سب کچھ اسی ترتیب کی پیروی کرتا ہے۔
انسٹالر سے نہیں، طریقے سے شروع کریں
گیٹ وے ایک یا زیادہ سرنگ اقسام اور تصدیقی طریقوں کے ساتھ کنفیگر ہے۔ یہی جوڑی، نہ کہ آپ کے ڈیسک ٹاپ پر موجود فائل ایکسٹینشن، فیصلہ کرتی ہے کہ کون سے کلائنٹس معاون ہیں۔
کچھ بھی ڈاؤن لوڈ کرنے سے پہلے جوڑی لکھ لیں، کیونکہ معاونت کا میٹرکس تنگ ہے اور غلط آغاز ایک دوپہر کھا جاتا ہے۔
تعیناتی نوٹس میں جو نقشہ رکھتا ہوں وہ یہ ہے:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
اس جدول کو مینو نہیں، پابندی کے طور پر پڑھیں۔ ہر قطار ایک دستاویزی امتزاج ہے، اور ایک قطار کے کلائنٹ کو دوسری قطار کے طریقے کے ساتھ ملانا بالکل وہی خرابی ہے جسے روکنے کے لیے یہ مضمون ہے۔
Entra ID کا مطلب OpenVPN کے ساتھ Azure VPN Client
پوائنٹ ٹو سائٹ پر Entra تصدیق کے لیے، معاون ترتیب OpenVPN سرنگ کی قسم اور Azure VPN Client استعمال کرتی ہے۔ عام صارف نام اور پاس ورڈ کا ڈائیلاگ اس انضمام کا متبادل نہیں، اور Windows کا مقامی IKEv2 وہی لاگ اِن کرنے کا قابلِ تبادلہ طریقہ نہیں۔ اگر فریقِ ثالث کا کلائنٹ Entra یا Azure AD کا آپشن پیش کرتا ہے تو اسے لیبل کے بجائے Microsoft کی موجودہ دستاویزات کے مطابق جانچیں۔ لیبل مارکیٹنگ ہے، جبکہ دستاویزی امتزاج معاہدہ ہے۔
macOS پر بھی Azure VPN Client اس طریقے کا دستاویزی راستہ ہے۔
سرٹیفکیٹس کو کلائنٹ اسناد درکار ہیں، صرف روٹ نہیں
سرٹیفکیٹ تصدیق ایک الگ معاون ماڈل ہے، اور یہ Microsoft کے دستاویزی OpenVPN کلائنٹس کے ساتھ اور معاون پلیٹ فارمز پر Azure VPN Client کے ساتھ کام کرتا ہے۔ Windows پر Azure VPN Client صرف Entra کے لیے نہیں: اس کے پاس دستاویزی سرٹیفکیٹ ورک فلو بھی ہے۔ اسے مطلوبہ کلائنٹ سرٹیفکیٹ درکار ہے جس کے ساتھ قابلِ استعمال نجی کلید ہو اور جس پر گیٹ وے بھروسہ کرتا ہو۔ گیٹ وے کا قابلِ بھروسہ روٹ کلائنٹ اسناد نہیں، اور جاری کنندہ کی دستخطی کلید کبھی کلائنٹ پیکج کا حصہ نہیں ہوتی۔
پروفائل ڈیبگ کرنے سے پہلے چین جانچیں۔ ایسے روٹ سے جاری سرٹیفکیٹ جو گیٹ وے کو قابلِ بھروسہ نہ ہو، ایسی ناکامی پیدا کرتا ہے جو خراب پروفائل جیسی لگتی ہے اور دراصل بھروسے کا مسئلہ ہوتی ہے۔
جہاں پلیٹ فارم اجازت دے وہاں نجی کلید کو ناقابلِ برآمد رکھیں، اور موجودہ صارف کے لیے واقعی نصب سرٹیفکیٹ کے ساتھ جانچیں۔
RADIUS اپنے امتزاجوں والا بیک اینڈ انتخاب ہے
RADIUS اسناد کا فیصلہ آپ کے چلائے ہوئے سرور پر منتقل کرتا ہے، اور یہ مخصوص سرنگ اقسام اور کلائنٹس کے ساتھ دستاویزی ہے۔ صرف اس لیے کہ ماحول میں کئی آپریٹنگ سسٹمز ہیں، یہ خود بخود درست جواب نہیں۔ گیٹ وے کی تصدیقی پالیسی بدلنے سے پہلے طے کریں کہ اصل کلائنٹ کیا پیش کر سکتا ہے، کیونکہ گیٹ وے کو RADIUS پر منتقل کرنا ہر موجودہ پروفائل کو نہیں ڈھالتا۔ کلائنٹ کو پھر بھی وہ اسناد طلب کرنے یا فراہم کرنے کے قابل ہونا چاہیے۔
اگر مخلوط ماحول وجہ ہو تو سب کے لیے گیٹ وے پالیسی کمزور کرنے کے بجائے ہر پلیٹ فارم کے لیے حل کریں۔
2026 پیش نظارہ کی واپسی کے بعد Linux
Microsoft کی Linux واپسی سے متعلق رہنمائی Linux کے لیے Azure VPN Client پیش نظارہ کی واپسی کی تاریخ 31 اگست 2026 بتاتی ہے، لہٰذا نومبر 2026 سے وہ پیش نظارہ آپ کے پیچھے ہے۔ موجودہ تنصیبات کام جاری رکھ سکتی ہیں، لیکن انہیں اب معاونت، اپ ڈیٹس یا سیکیورٹی اصلاحات نہیں ملتیں۔ پرانے Linux انسٹالر کو معاون نئی تعیناتی کے طور پر تقسیم نہ کریں۔ یہ کلائنٹ کی واپسی ہے، Azure VPN Gateway یا Windows اور macOS کلائنٹس کی واپسی نہیں۔
دستاویزی Linux متبادل سرٹیفکیٹ تصدیق والا OpenVPN کلائنٹ، یا IKEv2 اور سرٹیفکیٹ یا RADIUS تصدیق والا strongSwan ہیں۔ دونوں مختلف کنفیگریشنز ہیں جن کے لیے تنظیمی منظوری درکار ہے، پرانی Entra پروفائل کا نام بدل کر ملنے والی تبدیلی نہیں۔
اگر پالیسی وجوہات کی بنا پر Entra سائن اِن لازمی ہو تو مالک کو معاون پلیٹ فارم یا منظور شدہ متبادل ڈیزائن منتخب کرنا ہوگا۔ یہ فیصلہ ہے، گریز کا راستہ نہیں۔
پروفائل بنائیں اور چار جانچیں کریں
امتزاج طے ہونے کے بعد مطلوبہ گیٹ وے سے کلائنٹ کنفیگریشن بنائیں، اور اس کلائنٹ اور طریقے کے لیے دستاویزی نمائندگی درآمد کریں۔ عام OpenVPN فولڈر اور Azure VPN Client XML پروفائل قابلِ تبادلہ نہیں۔ اگر گیٹ وے جان بوجھ کر کئی تصدیقی اقسام فعال کرتا ہے تو ایک کنکشن سب کو مطمئن کرے گا کی توقع کے بجائے موزوں پروفائل اور اسناد کا راستہ منتخب کریں۔ پھر اس ترتیب سے جانچیں کریں:
- معاون کلائنٹ بنائی گئی پروفائل کو بغیر ترمیم درآمد کرتا ہے۔
- مطلوبہ شناخت اس طریقے سے تصدیق ہوتی ہے جس کی اس پروفائل کو توقع ہے۔
- درکار روٹ اور ریزولور پالیسی کلائنٹ پر ظاہر ہوتی ہے۔
- اجازت یافتہ ایپلیکیشن اپنے نجی وسیلے تک پہنچتی ہے۔
کامیاب درآمد نہ تصدیق کی مطابقت ثابت کرتی ہے نہ نجی وسیلے کی اجازت، اسی لیے وہ چار جانچیں الگ رہتی ہیں۔