Настройка VPN-шлюза P2S для проверки подлинности Microsoft Entra ID — зарегистрированного вручную приложения

В этой статье показано, как настроить VPN-шлюз типа "точка — сеть" (P2S) для проверки подлинности Microsoft Entra ID и вручную зарегистрировать VPN-клиент Azure. Этот тип конфигурации поддерживается только для подключений протокола OpenVPN. Хотя действия и значения аудитории в этой статье приводят к рабочей конфигурации, мы рекомендуем использовать статью Настройка VPN-шлюза P2S для аутентификации Microsoft Entra ID.

Prerequisites

Действия, описанные в этой статье, требуют клиента Microsoft Entra. Если у вас нет клиента Microsoft Entra, можно создать его, выполнив действия, описанные в статье "Создание нового клиента". Обратите внимание на следующие поля при создании каталога:

• Название организации
• Первоначальное доменное имя

Если у вас уже есть шлюз P2S, действия, описанные в этой статье, помогут настроить шлюз для проверки подлинности Microsoft Entra ID. Вы также можете создать новый VPN-шлюз. Ссылка на создание нового шлюза включена в эту статью.

Создание пользователей клиента Microsoft Entra

1. Создайте две учетные записи в созданном клиенте Microsoft Entra. Инструкции см. в разделе "Добавление или удаление нового пользователя".

   • Роль администратора облачных приложений
   • Учетная запись пользователя

   Роль администратора облачных приложений используется для предоставления согласия на регистрацию VPN-приложений Azure. Учетная запись пользователя может использоваться для проверки аутентификации OpenVPN.

2. Назначьте одну из учетных записей роли администратора облачных приложений . Инструкции см. в статье "Назначение ролей администратора и неадминистратора пользователям с Microsoft Entra ID".

Авторизация VPN-приложения Azure

1. Войдите на портал Azure в качестве пользователя, которому назначена роль администратора облачных приложений.

2. Затем предоставьте согласие администратора для вашей организации. Это позволяет Azure VPN-приложению выполнять вход и чтение профилей пользователей. Скопируйте и вставьте URL-адрес, относящийся к расположению развертывания в адресной строке браузера:

   Публичный

   https://login.microsoftonline.com/common/oauth2/authorize?client_id=41b23e61-6c1e-4545-b367-cd054e0ed4b4&response_type=code&redirect_uri=https://portal.azure.com&nonce=1234&prompt=admin_consent
   

   Azure для государственных организаций

   https://login.microsoftonline.us/common/oauth2/authorize?client_id=51bb15d4-3a4f-4ebf-9dca-40096fe32426&response_type=code&redirect_uri=https://portal.azure.us&nonce=1234&prompt=admin_consent
   

   Microsoft Cloud Германия

   https://login-us.microsoftonline.de/common/oauth2/authorize?client_id=538ee9e6-310a-468d-afef-ea97365856a9&response_type=code&redirect_uri=https://portal.microsoftazure.de&nonce=1234&prompt=admin_consent
   

   Microsoft Azure под управлением 21Vianet

   https://login.chinacloudapi.cn/common/oauth2/authorize?client_id=49f817b6-84ae-4cc0-928c-73f27289b3aa&response_type=code&redirect_uri=https://portal.azure.cn&nonce=1234&prompt=admin_consent
   

   Примечание

   Если вы используете учетную запись администратора облачных приложений, которая не является собственной для клиента Microsoft Entra для предоставления согласия, замените "common" идентификатором клиента Microsoft Entra в URL-адресе. Кроме того, в ряде других случаев вам также может потребоваться заменить "common" идентификатором арендатора. Сведения о поиске идентификатора клиента см. в статье "Как найти идентификатор клиента Microsoft Entra".

3. Если появится запрос, выберите учетную запись с ролью администратора облачных приложений .

4. На странице "Запрошенные разрешения" нажмите кнопку "Принять".

5. Перейдите к Microsoft Entra ID. В левой области щелкните Корпоративные приложения. Вы увидите Azure VPN в списке.

   

Настройка VPN-шлюза

1. Найдите идентификатор арендатора каталога, который вы хотите использовать для проверки подлинности. Он указан в разделе свойств страницы Active Directory. Сведения о поиске идентификатора клиента см. в статье "Как найти идентификатор клиента Microsoft Entra".

2. Если у вас еще нет работающей среды "точка — сеть", выполните инструкцию, чтобы создать ее. См. статью "Создание VPN типа "точка — сеть " для создания и настройки VPN-шлюза типа "точка — сеть". При создании шлюза VPN SKU уровня Basic не поддерживается в OpenVPN.

3. Перейдите к шлюзу виртуальной сети. На левой панели щелкните по элементу Конфигурация "точка — сеть".

   

   Задайте следующие значения.

   • Пул адресов: пул клиентских адресов
   • Тип туннеля: OpenVPN (SSL)
   • Тип проверки подлинности: идентификатор Microsoft Entra

   Для значений Microsoft Entra ID используйте следующие рекомендации для значений клиента, аудитории и издателя. Замените {TenantID} идентификатором клиента, заботясь об удалении {} из примеров при замене этого значения.

   • Арендатор: Идентификатор клиента Microsoft Entra. Введите идентификатор клиента, соответствующий конфигурации. Убедитесь, что URL-адрес арендатора не имеет обратную косую черту \ в конце. Косая черта допустима.

     • Общедоступная Azure AD: https://login.microsoftonline.com/{TenantID}
     • Azure для государственных организаций AD:https://login.microsoftonline.us/{TenantID}
     • Azure для Германии AD:https://login-us.microsoftonline.de/{TenantID}
     • Китай 21Vianet AD: https://login.chinacloudapi.cn/{TenantID}

   • Аудитория: идентификатор приложения корпоративного приложения Microsoft Entra «Azure VPN».

     • Общедоступная служба Azure: 41b23e61-6c1e-4545-b367-cd054e0ed4b4
     • Azure для государственных организаций: 51bb15d4-3a4f-4ebf-9dca-40096fe32426
     • Azure Германия: 538ee9e6-310a-468d-afef-ea97365856a9
     • Microsoft Azure, управляемый 21Vianet: 49f817b6-84ae-4cc0-928c-73f27289b3aa

   • Издатель: URL-адрес службы безопасных токенов. Добавьте слэш в конец значения Issuer. В противном случае подключение может произойти сбой. Пример:

     • https://sts.windows.net/{TenantID}/

4. После завершения настройки параметров нажмите кнопку "Сохранить " в верхней части страницы.

Скачайте пакет конфигурации профиля vpn-клиента Azure

В этом разделе описано, как создать и скачать пакет конфигурации профиля VPN-клиента Azure. Этот пакет содержит параметры, которые можно использовать для настройки профиля клиента VPN Azure на клиентских компьютерах.

1. В верхней части страницы конфигурации "Точка — сеть" щелкните "Скачать VPN-клиент". Пакет конфигурации клиента создается несколько минут.

2. В браузере появится сообщение о том, что ZIP-файл конфигурации клиента доступен. Он получает такое же имя, как у вашего шлюза.

3. Извлеките скачанный ZIP-файл.

4. Перейдите в распакованную папку "AzureVPN".

5. Запомните расположение файла azurevpnconfig.xml. Файл azurevpnconfig.xml содержит параметр для VPN-подключения. Вы также можете распространить этот файл среди всех пользователей, которым необходимо подключиться по электронной почте или другим способом. Для успешного подключения пользователю потребуются допустимые учетные данные идентификатора Microsoft Entra.

Дальнейшие действия

• Чтобы подключиться к виртуальной сети, необходимо настроить vpn-клиент Azure на клиентских компьютерах. См. Настройка VPN-клиента для P2S VPN-подключений — Windows или Настройка VPN-клиента для P2S VPN-подключений — macOS.
• Ответы на часто задаваемые вопросы см. в разделе «Точка — сеть» документа FAQ по VPN-шлюз.