Share via

OpenVPN 2.x-client configureren voor P2S-certificaatverificatieverbindingen - Windows

  • Artikel

Als uw punt-naar-site-VPN-gateway (P2S) is geconfigureerd voor het gebruik van OpenVPN en certificaatverificatie, kunt u verbinding maken met uw virtuele netwerk met behulp van de OpenVPN-client. In dit artikel wordt u begeleid bij de stappen voor het configureren van de OpenVPN-client 2.4 en hoger en het maken van verbinding met uw virtuele netwerk.

Voordat u begint

Controleer voordat u begint met de stappen voor clientconfiguratie of u het juiste artikel over vpn-clientconfiguratie gebruikt. In de volgende tabel ziet u de configuratieartikelen die beschikbaar zijn voor punt-naar-site VPN-clients voor VPN Gateway. De stappen verschillen, afhankelijk van het verificatietype, het tunneltype en het client-besturingssysteem.

Verificatie Tunneltype Clientbesturingssysteem VPN-client
Certificaat
IKEv2, SSTP Windows Systeemeigen VPN-client
IKEv2 macOS Systeemeigen VPN-client
IKEv2 Linux strongSwan
OpenVPN Windows Azure VPN-client
OpenVPN-clientversie 2.x
OpenVPN-clientversie 3.x
OpenVPN macOS OpenVPN-client
OpenVPN iOS OpenVPN-client
OpenVPN Linux Azure VPN-client
OpenVPN-client
Microsoft Entra ID
OpenVPN Windows Azure VPN-client
OpenVPN macOS Azure VPN-client
OpenVPN Linux Azure VPN-client

Notitie

De OpenVPN-client wordt onafhankelijk beheerd en niet onder het beheer van Microsoft. Dit betekent dat Microsoft niet toezicht houdt op de code, builds, roadmap of juridische aspecten. Als klanten fouten of problemen met de OpenVPN-client tegenkomen, moeten ze rechtstreeks contact opnemen met de ondersteuning van OpenVPN Inc. De richtlijnen in dit artikel worden 'as is' verstrekt en zijn niet gevalideerd door OpenVPN Inc. Ze zijn bedoeld om klanten te helpen die al bekend zijn met de client en deze willen gebruiken om verbinding te maken met de Azure VPN-gateway in een punt-naar-site-VPN-installatie.

Vereisten

In dit artikel wordt ervan uitgegaan dat u de volgende vereisten al hebt uitgevoerd:

Verbindingsvereisten

Als u verbinding wilt maken met Azure met behulp van de OpenVPN-client met behulp van certificaatverificatie, vereist elke verbinding met de clientcomputer de volgende items:

  • De Open VPN-clientsoftware moet op elke clientcomputer worden geïnstalleerd en geconfigureerd.
  • De clientcomputer moet een clientcertificaat hebben dat lokaal is geïnstalleerd.

Workflow

De werkstroom voor dit artikel is:

  1. Genereer en installeer clientcertificaten als u dit nog niet hebt gedaan.
  2. Bekijk de configuratiebestanden van het VPN-clientprofiel in het configuratiepakket voor het VPN-clientprofiel dat u hebt gegenereerd.
  3. Configureer de OpenVPN-client.
  4. Verbinding maken met Azure.

Clientcertificaten genereren en installeren

Voor certificaatverificatie moet een clientcertificaat op elke clientcomputer worden geïnstalleerd. Het clientcertificaat dat u wilt gebruiken, moet worden geëxporteerd met de persoonlijke sleutel en moet alle certificaten in het certificeringspad bevatten. Daarnaast moet u voor sommige configuraties ook informatie over het basiscertificaat installeren.

In veel gevallen kunt u het clientcertificaat rechtstreeks op de clientcomputer installeren door te dubbelklikken. Voor bepaalde OpenVPN-clientconfiguraties moet u mogelijk informatie extraheren uit het clientcertificaat om de configuratie te voltooien.

  • Zie Punt-naar-site voor informatie over het werken met certificaten : Certificaten genereren.
  • Als u een geïnstalleerd clientcertificaat wilt weergeven, opent u Gebruikerscertificaten beheren. Het clientcertificaat wordt geïnstalleerd in Current User\Personal\Certificates.

Het clientcertificaat installeren

Elke computer heeft een clientcertificaat nodig om te verifiëren. Als het clientcertificaat nog niet op de lokale computer is geïnstalleerd, kunt u het installeren met behulp van de volgende stappen:

  1. Zoek het clientcertificaat. Zie Clientcertificaten installeren voor meer informatie over clientcertificaten.
  2. Installeer het clientcertificaat. Normaal gesproken kunt u dit doen door te dubbelklikken op het certificaatbestand en een wachtwoord op te geven (indien nodig).

Configuratiebestanden weergeven

Het configuratiepakket voor het VPN-clientprofiel bevat specifieke mappen. De bestanden in de mappen bevatten de instellingen die nodig zijn om het VPN-clientprofiel op de clientcomputer te configureren. De bestanden en de instellingen die ze bevatten, zijn specifiek voor de VPN-gateway en het type verificatie en tunnel dat uw VPN-gateway is geconfigureerd voor gebruik.

Zoek het configuratiepakket voor het VPN-clientprofiel dat u hebt gegenereerd en pak het uit. Voor certificaatverificatie en OpenVPN ziet u de map OpenVPN . Als u de map niet ziet, controleert u de volgende items:

  • Controleer of uw VPN-gateway is geconfigureerd voor het gebruik van het Type OpenVPN-tunnel.
  • Als u Microsoft Entra-verificatie gebruikt, hebt u mogelijk geen OpenVPN-map. Zie in plaats daarvan het configuratieartikel voor Microsoft Entra-id's .

De client configureren

  1. Download en installeer de OpenVPN-client (versie 2.4 of hoger) van de officiële OpenVPN-website.

  2. Zoek het configuratiepakket voor het VPN-clientprofiel dat u hebt gegenereerd en gedownload naar uw computer. Pak het pakket uit. Ga naar de map OpenVPN en open het configuratiebestand vpnconfig.ovpn met Behulp van Kladblok.

  3. Zoek vervolgens het onderliggende certificaat dat u hebt gemaakt. Als u het certificaat niet hebt, gebruikt u een van de volgende koppelingen om het certificaat te exporteren. In de volgende stap gebruikt u de certificaatgegevens.

  4. Pak de persoonlijke sleutel en de base64-vingerafdruk uit het .pfx-bestand uit het onderliggende certificaat. Er zijn meerdere manieren om dit te doen. Het gebruik van OpenSSL op uw computer is één manier. Het profileinfo.txt-bestand bevat de persoonlijke sleutel en de vingerafdruk voor de CA en het clientcertificaat. Zorg ervoor dat u de vingerafdruk van het clientcertificaat gebruikt.

    openssl pkcs12 -in "filename.pfx" -nodes -out "profileinfo.txt"

  5. Schakel over naar het vpnconfig.ovpn-bestand dat u hebt geopend in Kladblok. Vul de sectie tussen <cert> en </cert>, haal de waarden voor $CLIENT_CERTIFICATEen $INTERMEDIATE_CERTIFICATEop, $ROOT_CERTIFICATE zoals wordt weergegeven in het volgende voorbeeld.

       # P2S client certificate
   # please fill this field with a PEM formatted cert
   <cert>
   $CLIENT_CERTIFICATE
   $INTERMEDIATE_CERTIFICATE (optional)
   $ROOT_CERTIFICATE
   </cert>
    • Open profileinfo.txt uit de vorige stap in Kladblok. U kunt elk certificaat identificeren door naar de subject= regel te kijken. Als uw onderliggende certificaat bijvoorbeeld P2SChildCert wordt genoemd, is uw clientcertificaat na het subject=CN = P2SChildCert kenmerk.
    • Kopieer voor elk certificaat in de keten de tekst (inclusief en tussen) '-----BEGIN CERTIFICATE-----' en '-----END CERTIFICATE-----'.
    • Neem alleen een $INTERMEDIATE_CERTIFICATE waarde op als u een tussenliggend certificaat in uw profileinfo.txt-bestand hebt.

  6. Open de profileinfo.txt in Kladblok. Als u de persoonlijke sleutel wilt ophalen, selecteert u de tekst (inclusief en tussen) "-----BEGIN PRIVATE KEY-----" en "-----END PRIVATE KEY-----" en kopieert u deze.

  7. Ga terug naar het bestand vpnconfig.ovpn in Kladblok en zoek deze sectie. Plak de persoonlijke sleutel die alles tussen en <key> en </key>vervangt.

    # P2S client root certificate private key
# please fill this field with a PEM formatted key
<key>
$PRIVATEKEY
</key>

  8. Als u de 2.6-versie van de OpenVPN-client gebruikt, voegt u de optie disable-dco toe aan het profiel. Deze optie lijkt niet compatibel te zijn met eerdere versies, dus moet deze alleen worden toegevoegd aan OpenVPN-clientversie 2.6.

  9. Wijzig geen andere velden. Gebruik de ingevulde configuratie in de clientinvoer om verbinding te maken met de VPN.

  10. Kopieer het bestand vpnconfig.ovpn naar C:\Program Files\OpenVPN\config folder.

  11. Klik met de rechtermuisknop op het OpenVPN-pictogram in het systeemvak en klik op Verbinden.

Volgende stappen

Volg de aanvullende server- of verbindingsinstellingen op. Zie de stappen voor punt-naar-site-configuratie.