Xác thực máy khách Azure P2S: Entra, chứng chỉ hay RADIUS
Đăng nhập Entra, chứng chỉ máy khách và RADIUS cần các máy khách và hồ sơ Azure VPN khác nhau. Chọn phương thức, rồi máy khách, rồi hồ sơ.
Bộ cài chạy, hồ sơ được nhập, và kết nối thất bại ở bước đăng nhập. Phần lớn các phiếu này không phải lỗi trong máy khách: một ứng dụng tương thích OpenVPN có thể mang đường hầm mà vẫn không biết cách thực hiện đăng nhập Microsoft Entra. Thứ tự tránh được vòng lặp là phương thức, rồi máy khách, rồi hồ sơ. Chọn phương thức xác thực mà cổng được cấu hình cho, chọn máy khách mà Microsoft tài liệu hóa cho phương thức đó, và chỉ sau đó tạo hồ sơ mà máy khách đó mong đợi. Mọi thứ bên dưới tuân theo thứ tự đó.
Bắt đầu từ phương thức, không phải bộ cài
Cổng được cấu hình với một hoặc nhiều loại đường hầm và phương thức xác thực. Chính cặp đó, không phải phần mở rộng tệp trên màn hình của bạn, quyết định máy khách nào được hỗ trợ.
Ghi cặp đó ra trước khi tải bất cứ thứ gì, vì ma trận hỗ trợ hẹp và khởi đầu sai tốn một buổi chiều.
Đây là ánh xạ tôi giữ trong ghi chú triển khai:
| Authentication | Tunnel type | Documented client |
|---|---|---|
| Microsoft Entra ID | OpenVPN | Azure VPN Client on Windows and macOS |
| Client certificate | OpenVPN or IKEv2 | Azure VPN Client, documented OpenVPN client, native IKEv2 client, strongSwan on Linux |
| RADIUS | IKEv2 or OpenVPN, per the current matrix | Native IKEv2 client, strongSwan, or the OpenVPN client the matrix names |
Đọc bảng đó như một ràng buộc, không phải thực đơn. Mỗi hàng là một tổ hợp được tài liệu hóa, và trộn một máy khách từ hàng này với phương thức từ hàng khác chính là lỗi mà bài viết này nhằm ngăn chặn.
Entra ID nghĩa là OpenVPN cộng Azure VPN Client
Với xác thực Entra trên kết nối điểm-tới-trang, cách bố trí được hỗ trợ dùng loại đường hầm OpenVPN và Azure VPN Client. Hộp thoại tên người dùng và mật khẩu thông thường không thay thế được tích hợp đó, và IKEv2 gốc của Windows không phải cách có thể hoán đổi để thực hiện cùng một lần đăng nhập. Nếu máy khách bên thứ ba cung cấp tùy chọn Entra hoặc Azure AD, hãy kiểm chứng theo tài liệu hiện hành của Microsoft chứ không theo nhãn. Nhãn là tiếp thị, còn tổ hợp được tài liệu hóa là hợp đồng.
Trên macOS, Azure VPN Client cũng là đường dẫn được tài liệu hóa cho phương thức này.
Chứng chỉ cần thông tin xác thực máy khách, không chỉ chứng chỉ gốc
Xác thực bằng chứng chỉ là một mô hình được hỗ trợ riêng, và nó hoạt động với các máy khách OpenVPN mà Microsoft tài liệu hóa và với Azure VPN Client trên các nền tảng được hỗ trợ. Trên Windows, Azure VPN Client không chỉ dành cho Entra: nó cũng có quy trình chứng chỉ được tài liệu hóa. Thứ nó cần là chứng chỉ máy khách dự định với khóa riêng dùng được, được cổng tin cậy. Chứng chỉ gốc tin cậy của cổng không phải thông tin xác thực máy khách, và khóa ký của nhà phát hành không bao giờ thuộc về gói máy khách.
Kiểm tra chuỗi trước khi gỡ lỗi hồ sơ. Chứng chỉ do một gốc mà cổng không tin cậy phát hành tạo ra lỗi trông như hồ sơ hỏng nhưng thực chất là vấn đề tin cậy.
Giữ khóa riêng không thể xuất ở nơi nền tảng cho phép, và kiểm thử với chứng chỉ thực sự được cài cho người dùng hiện tại.
RADIUS là lựa chọn backend với các tổ hợp riêng
RADIUS chuyển quyết định về thông tin xác thực sang máy chủ do bạn tự vận hành, và nó được tài liệu hóa với các loại đường hầm và máy khách cụ thể. Nó không tự động là câu trả lời đúng chỉ vì môi trường có nhiều hệ điều hành. Xác định máy khách thực tế có thể trình bày gì trước khi thay đổi chính sách xác thực của cổng, vì chuyển cổng sang RADIUS không điều chỉnh mọi hồ sơ hiện có. Máy khách vẫn phải có khả năng yêu cầu hoặc cung cấp các thông tin xác thực đó.
Nếu môi trường hỗn hợp là nguyên nhân, hãy giải quyết theo từng nền tảng thay vì làm yếu chính sách của cổng cho mọi người.
Linux sau khi rút bản xem trước năm 2026
Hướng dẫn của Microsoft về việc rút Linux nêu ngày 31 tháng Tám năm 2026 là ngày rút bản xem trước Azure VPN Client cho Linux, nên từ tháng Mười Một năm 2026 bản xem trước đó đã ở phía sau bạn. Các bản cài hiện có có thể tiếp tục hoạt động, nhưng không còn nhận hỗ trợ, cập nhật hay bản vá bảo mật. Đừng phát hành bộ cài Linux cũ như một triển khai mới được hỗ trợ. Đây là việc rút một máy khách, không phải rút Azure VPN Gateway hay các máy khách Windows và macOS.
Các thay thế Linux được tài liệu hóa là máy khách OpenVPN với xác thực bằng chứng chỉ, hoặc strongSwan với IKEv2 và xác thực bằng chứng chỉ hoặc RADIUS. Cả hai là cấu hình khác nhau cần sự phê duyệt của tổ chức, không phải chuyển đổi có được bằng cách đổi tên hồ sơ Entra cũ.
Nếu đăng nhập Entra là bắt buộc vì lý do chính sách, chủ sở hữu phải chọn một nền tảng được hỗ trợ hoặc một thiết kế thay thế đã được phê duyệt. Đó là quyết định, không phải lối vòng tránh.
Tạo hồ sơ và thực hiện bốn kiểm tra
Khi tổ hợp đã rõ, hãy tạo cấu hình máy khách từ cổng dự định và nhập biểu diễn được tài liệu hóa cho máy khách và phương thức đó. Thư mục OpenVPN chung và hồ sơ XML của Azure VPN Client không thể hoán đổi. Nếu cổng cố ý bật nhiều loại xác thực, hãy chọn hồ sơ và đường dẫn thông tin xác thực tương ứng thay vì mong một kết nối đáp ứng tất cả. Sau đó thực hiện các kiểm tra theo thứ tự này:
- Máy khách được hỗ trợ nhập hồ sơ đã tạo mà không chỉnh sửa.
- Danh tính dự định xác thực bằng phương thức mà hồ sơ đó mong đợi.
- Chính sách tuyến và bộ phân giải cần thiết xuất hiện trên máy khách.
- Ứng dụng được phép tiếp cận tài nguyên riêng của nó.
Nhập thành công không chứng minh tính tương thích của xác thực lẫn quyền truy cập tài nguyên riêng, vì vậy bốn kiểm tra đó vẫn tách biệt.