Сведения о VPN-подключениях типа "точка — сеть"

Подключение типа "точка — сеть" через VPN-шлюз позволяет создать безопасное подключение к виртуальной сети с отдельного клиентского компьютера. Подключение P2S сначала устанавливается на клиентском компьютере. Это решение полезно для удалённых работников, которые хотят подключиться к виртуальным сетям #REF! из удалённого места, например, из дома или конференц-зала. VPN P2S также является полезным решением для использования вместо VPN типа "сеть — сеть" (S2S), если у вас есть только несколько клиентов, которым требуется подключиться к виртуальной сети. Для конфигураций "точка — сеть" требуется тип VPN на основе маршрута.

Какой протокол использует P2S?

В VPN-подключении "точка — сеть" может использоваться один из следующих протоколов:

• Протокол OpenVPN® — это VPN-протокол на основе SSL/TLS. Это решение для VPN-подключений на основе TLS позволяет проходить через брандмауэры, так как большинство брандмауэров открывают для исходящего трафика TCP-порт 443, которым пользуется TLS. OpenVPN можно использовать для подключения из Android, iOS (версии 11.0 и более поздних версий), #REF!, Linux и Mac (macOS версии 10.13 и выше). Поддерживаемые версии: TLS 1.2 и TLS 1.3 на основе рукопожатия TLS.

• SSTP (Secure Socket Tunneling Protocol) — проприетарный VPN-протокол на основе TLS. Это решение для VPN-подключений на основе TLS позволяет проходить через брандмауэры, так как большинство брандмауэров открывают для исходящего трафика TCP-порт 443, которым пользуется TLS. SSTP поддерживается только на #REF! устройствах. #REF! поддерживает все версии #REF! с SSTP и поддержкой TLS 1.2 (#REF! и более поздних версий).

• IKEv2 VPN — решение VPN на основе стандартов IPsec. IKEv2 VPN можно использовать для подключения с устройств Mac (macOS версии 10.11 и выше).

Как выполняется аутентификация VPN-клиентов при подключениях типа "точка — сеть"?

Прежде чем #REF! принимает VPN-подключение P2S, пользователю необходимо сначала пройти проверку подлинности. Существует три типа проверки подлинности, которые можно выбрать при настройке шлюза P2S. Доступные параметры:

• Сертификат
• Microsoft Entra ID
• РАДИУС и сервер домен Active Directory

Для конфигурации шлюза P2S можно выбрать несколько типов проверки подлинности. При выборе нескольких типов проверки подлинности используемый VPN-клиент должен поддерживаться по крайней мере одним типом проверки подлинности и соответствующим типом туннеля. Например, если для типов туннелей выбраны "IKEv2 и OpenVPN", а для типа проверки подлинности выбраны "Microsoft Entra ID и radius" или "Microsoft Entra ID и сертификат #REF!", Microsoft Entra ID будет использовать только тип туннеля OpenVPN, так как он не поддерживается IKEv2.

В следующей таблице показаны механизмы проверки подлинности, совместимые с выбранными типами туннелей. Каждый механизм требует настройки соответствующего программного обеспечения VPN-клиента на подключаемом устройстве с соответствующими параметрами, доступными в файлах конфигурации профиля VPN-клиента.

Аутентификация на основе сертификата

При настройке шлюза P2S для проверки подлинности сертификата вы отправляете открытый ключ доверенного корневого сертификата в шлюз #REF!. Можно использовать корневой сертификат, созданный с помощью корпоративного решения, или создать самозаверяющий сертификат.

Для проверки подлинности каждый клиент, который подключается, должен иметь установленный сертификат клиента, созданный из доверенного корневого сертификата. Это в дополнение к программному обеспечению VPN-клиента. Проверка сертификатов клиентов выполняется VPN-шлюзом, когда устанавливается VPN-подключение "точка — сеть".

Рабочий процесс проверки подлинности сертификата

На высоком уровне необходимо выполнить следующие действия, чтобы настроить проверку подлинности сертификата:

1. Включите аутентификацию с использованием сертификатов на шлюзе P2S, а также настройте дополнительные необходимые параметры (пул адресов клиента и т. д.), и загрузите информацию о корневом открытом ключе ЦС.
2. Создайте и скачайте файлы конфигурации профиля VPN-клиента (пакет конфигурации профиля).
3. Установите сертификат клиента на каждом подключаемом клиентском компьютере.
4. Настройте VPN-клиент на клиентском компьютере с помощью параметров, найденных в пакете конфигурации профиля VPN.
5. Подключитесь.

проверка подлинности Microsoft Entra ID

Шлюз P2S можно настроить, чтобы пользователи VPN могли проходить проверку подлинности с помощью учетных данных Microsoft Entra ID. С помощью проверки подлинности Microsoft Entra ID можно использовать #REF! функции условного доступа и многофакторной проверки подлинности (MFA) для VPN. Аутентификация Microsoft Entra ID поддерживается только для протокола OpenVPN. Для проверки подлинности и подключения клиенты должны использовать #REF! VPN-клиент.

VPN-шлюз теперь поддерживает новый идентификатор приложения, зарегистрированный корпорацией Майкрософт, и соответствующие значения аудитории для последних версий vpn-клиента #REF!. При настройке VPN-шлюза P2S с помощью новых значений аудитории вы пропустите ранее необходимый процесс регистрации #REF! клиентского приложения VPN вручную для вашего клиента #REF!. Идентификатор приложения уже создан, и клиент автоматически может использовать его без дополнительных шагов регистрации. Этот процесс безопаснее, чем вручную регистрация VPN-клиента #REF!, так как вам не нужно авторизовать приложение или назначать разрешения с помощью роли администратора облачных приложений. Чтобы лучше понять разницу между типами объектов приложения, см. раздел How и почему приложения добавляются в Microsoft Entra ID.

• Если ваш шлюз VPN пользователя P2S настроен с использованием параметров аудитории для вручную настраиваемого приложения #REF! VPN Client, вы можете легко изменить настройки шлюза и клиента, чтобы воспользоваться новым идентификатором приложения, зарегистрированным компанией Майкрософт. Если вы хотите, чтобы клиенты Linux подключались, необходимо обновить шлюз P2S с новым значением аудитории. #REF! VPN-клиент для Linux не совместим со старыми значениями параметра Audience.
• Если вы хотите создать или изменить настраиваемое значение аудитории, см. статью "Создание пользовательского идентификатора приложения аудитории для VPN P2S".
• Если вы хотите настроить или ограничить доступ к P2S на основе пользователей и групп, см . статью "Сценарий: Настройка VPN-доступа P2S на основе пользователей и групп".

Рекомендации

• VPN-шлюз P2S может поддерживать только одно значение аудитории. Он не поддерживает одновременно несколько значений аудитории.

• Клиент VPN #REF! для Linux не совместим с шлюзами P2S, настроенными на использование старых значений Audience, которые соответствуют вручную зарегистрированному приложению. Однако #REF! VPN-клиент для Linux поддерживает пользовательские значения аудитории.

• Хотя возможно, что #REF! VPN-клиент для Linux может работать в других дистрибутивах и выпусках Linux, #REF! VPN-клиент для Linux поддерживается только в следующих выпусках:

  • Ubuntu 20.04
  • Ubuntu 22.04

• Хотя возможно, что vpn-клиент #REF! для #REF! может работать в других версиях операционной системы, #REF! VPN-клиент для #REF! поддерживается только в следующих выпусках:

  • Поддерживаемые выпуски #REF!: #REF!, #REF! на процессорах X64.
  • Vpn-клиент #REF! для #REF! не поддерживается для систем, работающих на процессоре ARM.

• Последние версии VPN-клиентов #REF! для macOS и #REF! совместимы с шлюзами P2S, настроенными для использования старых значений аудитории, которые соответствуют зарегистрированным вручную приложению. Эти клиенты также поддерживают значения настраиваемой аудитории.

Значения аудитории #REF! VPN клиента

В следующей таблице показаны версии VPN-клиента #REF!, которые поддерживаются для каждого идентификатора приложения и соответствующих доступных значений аудитории.

рабочий процесс проверки подлинности Microsoft Entra ID

На высоком уровне необходимо выполнить следующие действия, чтобы настроить проверку подлинности Microsoft Entra ID:

1. При использовании ручной регистрации приложения выполните необходимые действия в клиенте #REF!.
2. Включите проверку подлинности Microsoft Entra ID на шлюзе P2S, а также дополнительные необходимые параметры (пул адресов клиента и т. д.).
3. Создайте и скачайте файлы конфигурации профиля VPN-клиента (пакет конфигурации профиля).
4. Скачайте, установите и настройте VPN-клиент #REF! на клиентском компьютере.
5. Подключитесь.

RADIUS — проверка подлинности сервера домена Active Directory (AD)

Проверка подлинности домена AD позволяет пользователям подключаться к #REF! с помощью учетных данных домена организации. Для этой проверки требуется сервер RADIUS, который интегрирован с сервером AD. Организации также могут использовать существующее развертывание RADIUS.

Сервер RADIUS можно развернуть локально или в виртуальной сети #REF!. Во время проверки подлинности #REF! выступает в качестве передачи и пересылки сообщений проверки подлинности между сервером RADIUS и устройством подключения. Достижимость шлюза к серверу RADIUS важна. Если сервер RADIUS присутствует локально, для обеспечения доступности требуется подключение VPN S2S из #REF! к локальному сайту.

Сервер RADIUS также можно интегрировать со службами сертификации AD. Это позволяет использовать сервер RADIUS и развертывание корпоративных сертификатов для проверки подлинности сертификатов P2S в качестве альтернативы проверке подлинности сертификата #REF!. Преимущество заключается в том, что вам не нужно отправлять корневые сертификаты и отзывать сертификаты в #REF!.

Сервер RADIUS также можно интегрировать с другими системами внешних идентификаторов. Благодаря этой возможности для VPN-подключений "точка — сеть" доступно множество вариантов аутентификации, в том числе и варианты многофакторной аутентификации.

Схема: VPN-подключение "точка — сеть" с локальным сайтом.

Инструкции по настройке шлюза P2S см. в разделе "Настройка P2S — RADIUS".

Каковы требования к конфигурации клиента?

Требования к конфигурации клиента зависят от используемого VPN-клиента, типа проверки подлинности и протокола. В следующей таблице показаны доступные клиенты и соответствующие статьи для каждой конфигурации.

Какие версии vpn-клиента #REF! доступны?

Сведения о доступных версиях VPN-клиента #REF!, датах выпуска и новых возможностях каждого выпуска см. в разделе #REF! версии VPN-клиента.

Какие SKU шлюза поддерживают P2S VPN?

В следующей таблице показаны номера SKU шлюза по туннелям, подключению и пропускной способности. Дополнительные сведения см. в разделе "Сведения о номерах SKU шлюза".

Какие политики IKE/IPsec настроены на VPN-шлюзах для P2S-соединения?

В таблицах этого раздела показаны значения политик по умолчанию. Однако они не отражают доступные поддерживаемые значения для пользовательских политик. Для пользовательских политик см. раздел Принятые значения, перечисленные в командлете PowerShell New-AzVpnClientIpsecParameter.

IKEv2

IPsec

Какие политики TLS настроены на VPN-шлюзах для подключения "точка — сеть"?

TLS

**Поддерживается только в TLS1.3 с OpenVPN

Как настроить подключение P2S?

Для настройки подключения "точка — сеть" необходимо выполнить ряд определенных действий. В следующих статьях описаны шаги для выполнения общих действий по настройке P2S.

• Проверка подлинности сертификата
• проверка подлинности Microsoft Entra ID
• Проверка подлинности RADIUS

Удаление конфигурации подключения "точка — сеть"

Конфигурацию подключения можно удалить с помощью PowerShell или CLI. Примеры см. в разделе часто задаваемых вопросов.

Как работает маршрутизация P2S

См. следующие статьи:

• Сведения о маршрутизации VPN-подключений "точка — сеть"
• Объявление настраиваемых маршрутов

Вопросы и ответы

Существует несколько записей часто задаваемых вопросов для типа "точка — сеть". Ознакомьтесь с Часто задаваемыми вопросами по VPN-шлюз, уделяя особое внимание разделам Аутентификация с помощью сертификатов и RADIUS.

Следующие шаги

• Настройка подключения P2S — проверка подлинности сертификата #REF!
• Настройка подключения P2S — проверка подлинности Microsoft Entra ID

OpenVPN является товарным знаком OpenVPN Inc.