Configureer een VPN-client voor point-to-site: RADIUS-authenticatie

Als u verbinding wilt maken met een virtueel netwerk via punt-naar-site (P2S), moet u het clientapparaat configureren waarmee u verbinding maakt. U kunt P2S VPN-verbindingen maken vanaf Windows-, macOS- en Linux-clientapparaten. Dit artikel helpt je bij het maken en installeren van de VPN-clientconfiguratie voor RADIUS-authenticatie. Selecteer de authenticatiemethode die je RADIUS-server is ingesteld om te gebruiken.

Note

Vanaf 1 juli 2018 is ondersteuning voor TLS 1.0 en 1.1 uit Azure VPN-gateway verwijderd. VPN Gateway ondersteunt alleen TLS 1.2. Alleen punt-naar-site-verbindingen worden beïnvloed; site-naar-site-verbindingen worden niet beïnvloed. Als u TLS gebruikt voor punt-naar-site-VPN's op Windows 10 of latere clients, hoeft u geen actie te ondernemen. Als u TLS gebruikt voor punt-naar-site-verbindingen op Windows 7- en Windows 8-clients, raadpleegt u de veelgestelde vragen VPN Gateway voor update-instructies.

Note

Microsoft raadt aan om Windows 11 te gebruiken met Point-to-Site VPN-verbindingen. Windows 10 eindigde in oktober 2025 met de ondersteuning. Voor meer informatie, zie Ondersteunde Windows-versies voor Azure VPN Client.

Workflow

De configuratiewerkstroom voor P2S RADIUS-verificatie is als volgt:

1. Stel de Azure VPN-gateway in voor P2S-connectiviteit.
2. Stel uw RADIUS-server in voor verificatie.
3. Haal de VPN-clientconfiguratie op voor de verificatieoptie van uw keuze en gebruik deze om de VPN-client in te stellen (dit artikel).
4. Voltooi uw P2S-configuratie en maak verbinding.

Important

Als je na het genereren van het VPN-configuratie van de VPN-client nog wijzigingen aanbrengt in de point-to-site VPN-configuratie, zoals het VPN-protocol of het authenticatietype, moet je een nieuwe VPN-clientconfiguratie genereren en installeren op de apparaten van je gebruikers.

Verificatie via certificaat

U kunt VPN-clientconfiguratiebestanden maken voor RADIUS-certificaatverificatie die gebruikmaakt van het EAP-TLS-protocol. Typisch authenticeert een door een onderneming uitgegeven certificaat een gebruiker voor VPN. Zorg ervoor dat alle verbindende gebruikers een certificaat op hun apparaten hebben geïnstalleerd en dat je RADIUS-server het certificaat kan valideren.

Stel -AuthenticationMethod in de opdrachten in op EapTls. Tijdens certificaatverificatie valideert de client de RADIUS-server door het certificaat te valideren. Stel -RadiusRootCert in op het bestand .cer dat het basiscertificaat bevat dat wordt gebruikt om de RADIUS-server te valideren.

Voor elk VPN-clientapparaat is een geïnstalleerd clientcertificaat vereist. Soms heeft een Windows-apparaat meerdere clientcertificaten. Tijdens de authenticatie kan deze voorwaarde resulteren in een pop-up dialoogvenster waarin alle certificaten worden weergegeven. De gebruiker moet het certificaat kiezen dat gebruikt wordt. Je kunt het juiste certificaat filteren door het rootcertificaat te specificeren waaraan het clientcertificaat moet koppelen.

Stel -ClientRootCert in op het bestand .cer dat het basiscertificaat bevat. Het is een optionele parameter. Als het apparaat waarmee je wilt verbinden slechts één clientcertificaat heeft, hoef je deze parameter niet op te geven.

VPN-clientconfiguratiebestanden genereren

Je kunt de VPN-clientconfiguratiebestanden genereren door gebruik te maken van het Azure-portaal of Azure PowerShell.

Azure Portal

1. Ga naar de gateway van het virtuele netwerk.

2. Selecteer Point-to-Site configuratie.

3. Selecteer VPN-client downloaden.

4. Selecteer de klant en vul alle benodigde informatie in. Afhankelijk van de configuratie moet je misschien het RADIUS-rootcertificaat uploaden naar het portaal. Exporteer het certificaat in het vereiste Base-64-gecodeerde X.509 (. CER)-formaat en open het in een teksteditor, zoals Notepad. De sectie die blauw is gemarkeerd, bevat de informatie die u naar Azure kopieert en uploadt.

   

   Als je bestand er niet uitziet als in het volgende voorbeeld, heb je het misschien niet geëxporteerd met het Base-64-gecodeerde X.509 (. CER) formaat. Sommige teksteditors kunnen onbedoelde achtergrondopmaak introduceren, wat problemen kan veroorzaken wanneer je certificaattekst uploadt naar Azure.

5. Selecteer Download om het .zip-bestand te genereren.

6. Het .zip bestand wordt meestal gedownload in je map Downloads.

Azure PowerShell

Genereer configuratiebestanden voor VPN-clients voor gebruik met certificaatverificatie. Gebruik het volgende commando om de VPN-clientconfiguratiebestanden te genereren:

New-AzVpnClientConfiguration -ResourceGroupName "TestRG" -Name "VNet1GW" -AuthenticationMethod "EapTls" -RadiusRootCert "<full path name of .cer file containing the RADIUS root>" -ClientRootCert "<full path name of .cer file containing the client root>" | fl

Als u de opdracht uitvoert, wordt een koppeling geretourneerd. Kopieer en plak de link naar een webbrowser om te downloaden VpnClientConfiguration.zip. Pak het bestand uit om de volgende mappen weer te geven:

• WindowsAmd64 en WindowsX86: deze mappen bevatten respectievelijk de windows 64-bits en 32-bits installatiepakketten.
• GenericDevice: Deze map bevat algemene informatie die je gebruikt om je eigen VPN-clientconfiguratie te maken.

Als u al clientconfiguratiebestanden hebt gemaakt, kunt u deze ophalen met behulp van de Get-AzVpnClientConfiguration cmdlet. Als je wijzigingen aanbrengt in je P2S VPN-configuratie, zoals het VPN-protocol of het authenticatietype, wordt de configuratie niet automatisch bijgewerkt. U moet de New-AzVpnClientConfiguration cmdlet uitvoeren om een nieuwe configuratiedownload te maken.

Gebruik de volgende opdracht om eerder gegenereerde clientconfiguratiebestanden op te halen:

Get-AzVpnClientConfiguration -ResourceGroupName "TestRG" -Name "VNet1GW" | fl

Systeemeigen Windows VPN-client

Gebruik de native VPN-client als je IKEv2 of SSTP configureert.

1. Selecteer een configuratiepakket en installeer het op het clientapparaat. Kies voor een 64-bits processorarchitectuur het installatiepakket VpnClientSetupAmd64 . Kies voor een 32-bits processorarchitectuur het installatiepakket VpnClientSetupX86 . Als u een SmartScreen-pop-upvenster ziet, selecteert u Meer informatie>Toch uitvoeren. U kunt het pakket ook opslaan en op andere clientcomputers installeren.

2. Elke client vereist een clientcertificaat voor verificatie. Installeer het clientcertificaat. Zie Clientcertificaten voor punt-naar-site voor informatie over clientcertificaten. Om een gegenereerd certificaat te installeren, zie Een certificaat installeren op Windows-clients.

3. Blader op de clientcomputer naar Netwerkinstellingen en selecteer VPN. De VPN-verbinding bevat de naam van het virtuele netwerk waarmee verbinding wordt gemaakt.

Mac-native VPN-client (macOS)

Je moet een apart profiel aanmaken voor elk Mac-apparaat dat verbinding maakt met het virtuele Azure-netwerk, omdat elk apparaat het gebruikerscertificaat vereist voor authenticatie in zijn profiel. Je kunt de native VPN-client van macOS alleen gebruiken als je het IKEv2-tunneltype in je configuratie hebt opgenomen. De Generic-map bevat alle informatie die nodig is om een profiel aan te maken:

• VpnSettings.xml bevat belangrijke instellingen, zoals serveradres en tunneltype.
• VpnServerRoot.cer bevat het rootcertificaat dat nodig is om de VPN-gateway te valideren tijdens de P2S-verbinding setup.
• RadiusServerRoot.cer bevat het rootcertificaat dat nodig is om de RADIUS-server tijdens authenticatie te valideren.

Gebruik de volgende stappen om de systeemeigen VPN-client op een Mac te configureren voor certificaatverificatie:

1. Importeer de basiscertificaten VpnServerRoot en RadiusServerRoot naar uw Mac. Kopieer elk bestand naar uw Mac, dubbelklik erop en selecteer Vervolgens Toevoegen.

2. Elke client vereist een clientcertificaat voor verificatie. Installeer het clientcertificaat op het clientapparaat.

3. Open het dialoogvenster Netwerk onder Netwerkvoorkeuren. Selecteer + deze optie om een nieuw VPN-clientverbindingsprofiel te maken voor een P2S-verbinding met het virtuele Azure-netwerk.

   De interfacewaarde is VPN en de waarde van het VPN-type is IKEv2. Geef een naam op voor het profiel in het vak Servicenaam en selecteer Vervolgens Maken om het profiel voor de VPN-clientverbinding te maken.

4. Kopieer in de map Algemeen vanuit het bestand VpnSettings.xml de tagwaarde VpnServer . Plak deze waarde in de vakken Serveradres en Externe id van het profiel. Laat het vak Lokale id leeg.

5. Selecteer Verificatie-instellingen en selecteer Certificaat.

6. Selecteer het certificaat dat je wilt gebruiken voor authenticatie.

7. Kies Een identiteit waarin een lijst met certificaten wordt weergegeven waaruit u kunt kiezen. Selecteer het juiste certificaat en selecteer vervolgens Doorgaan.

8. Geef in het vak Lokale id de naam van het certificaat op (uit stap 6). In dit voorbeeld is ikev2Client.com. Selecteer vervolgens de knop Toepassen om de wijzigingen op te slaan.

9. Selecteer Toepassen in het dialoogvenster Netwerk om alle wijzigingen op te slaan. Klik vervolgens op Verbinden om de P2S-verbinding met het virtuele Azure-netwerk te starten.

Wachtwoordverificatie

Note

Microsoft raadt u aan de veiligste verificatiestroom te gebruiken die beschikbaar is. De verificatiestroom die in deze procedure wordt beschreven, vereist een zeer hoge mate van vertrouwen in de toepassing en brengt risico's met zich mee die niet aanwezig zijn in andere stromen. Gebruik deze flow alleen wanneer andere, veiligere stromen, zoals managed identitys, niet haalbaar zijn.

Je kunt gebruikersnaam-/wachtwoordauthenticatie instellen om Active Directory te gebruiken of geen Active Directory te gebruiken. In beide scenario's moet je ervoor zorgen dat alle verbindende gebruikers gebruikersnaam/wachtwoordgegevens hebben die RADIUS kan authenticeren.

Wanneer u verificatie van gebruikersnaam/wachtwoord configureert, kunt u alleen een configuratie maken voor het EAP-MSCHAPv2-protocol voor gebruikersnaam/wachtwoordverificatie. In de opdrachten -AuthenticationMethod is EapMSChapv2.

VPN-clientconfiguratiebestanden genereren

Je kunt de VPN-clientconfiguratiebestanden genereren door gebruik te maken van het Azure-portaal of Azure PowerShell.

Azure Portal

1. Ga naar de gateway van het virtuele netwerk.
2. Selecteer Point-to-Site configuratie.
3. Selecteer VPN-client downloaden.
4. Selecteer de klant en vul alle benodigde informatie in.
5. Selecteer Download om het .zip-bestand te genereren.
6. Het .zip bestand wordt meestal gedownload in je Downloads-map.

Azure PowerShell

Genereer configuratiebestanden voor VPN-clients voor gebruik met verificatie via gebruikersnaam en wachtwoord. Gebruik het volgende commando om de VPN-clientconfiguratiebestanden te genereren:

New-AzVpnClientConfiguration -ResourceGroupName "TestRG" -Name "VNet1GW" -AuthenticationMethod "EapMSChapv2"

Als u de opdracht uitvoert, wordt een koppeling geretourneerd. Kopieer en plak de koppeling naar een webbrowser om VpnClientConfiguration.zip te downloaden. Pak het bestand uit om de volgende mappen weer te geven:

• WindowsAmd64 en WindowsX86: deze mappen bevatten respectievelijk de windows 64-bits en 32-bits installatiepakketten.
• Algemeen: Deze map bevat algemene informatie die u gebruikt om uw eigen VPN-clientconfiguratie te maken. U hebt deze map niet nodig voor configuraties voor gebruikersnaam/wachtwoordverificatie.
• Mac: Als u IKEv2 hebt geconfigureerd toen u de gateway voor het virtuele netwerk maakte, ziet u een map met de naam Mac die een mobileconfig-bestand bevat. U gebruikt dit bestand om Mac-clients te configureren.

Als u al clientconfiguratiebestanden hebt gemaakt, kunt u deze ophalen met behulp van de Get-AzVpnClientConfiguration cmdlet. Maar als je wijzigingen aanbrengt in je P2S VPN-configuratie, zoals het VPN-protocol of het authenticatietype, wordt de configuratie niet automatisch bijgewerkt. U moet de New-AzVpnClientConfiguration cmdlet uitvoeren om een nieuwe configuratiedownload te maken.

Gebruik de volgende opdracht om eerder gegenereerde clientconfiguratiebestanden op te halen:

Get-AzVpnClientConfiguration -ResourceGroupName "TestRG" -Name "VNet1GW"

Windows VPN-client

U kunt hetzelfde VPN-clientconfiguratiepakket op elke Windows-clientcomputer gebruiken, zolang de versie overeenkomt met de architectuur voor de client. Voor de lijst van ondersteunde clientbesturingssystemen, zie de FAQ.

Gebruik de volgende stappen om de native Windows VPN-client te configureren voor wachtwoordauthenticatie:

1. Selecteer de configuratiebestanden van de VPN-client die overeenkomen met de architectuur van de Windows computer. Kies voor een 64-bits processorarchitectuur het installatiepakket VpnClientSetupAmd64 . Kies voor een 32-bits processorarchitectuur het installatiepakket VpnClientSetupX86 .

2. Dubbelklik op het pakket om het pakket te installeren. Als u een SmartScreen-pop-upvenster ziet, selecteert u Meer informatie>Toch uitvoeren.

3. Blader op de clientcomputer naar Netwerkinstellingen en selecteer VPN. De VPN-verbinding bevat de naam van het virtuele netwerk waarmee verbinding wordt gemaakt.

Vpn-client voor Mac (macOS)

1. Selecteer het bestand VpnClientSetup.mobileconfig en stuur het naar elke gebruiker. U kunt e-mail of een andere methode gebruiken.

2. Zoek het .mobileconfig-bestand op de Mac.

3. Optioneel: Om een aangepaste DNS te specificeren, voeg je de volgende regels toe aan het .mobileconfig-bestand :

    <key>DNS</key>
    <dict>
      <key>ServerAddresses</key>
        <array>
            <string>10.0.0.132</string>
        </array>
      <key>SupplementalMatchDomains</key>
        <array>
            <string>TestDomain.com</string>
        </array>
    </dict>
   

4. Dubbelklik op het profiel om het te installeren en selecteer Doorgaan. De profielnaam is hetzelfde als de naam van uw virtuele netwerk.

5. Selecteer Doorgaan om de afzender van het profiel te vertrouwen en ga door met de installatie.

6. Tijdens de profielinstallatie kunt u de gebruikersnaam en het wachtwoord voor VPN-verificatie opgeven. Het is niet verplicht om deze gegevens in te voeren. Als u dit doet, worden de gegevens opgeslagen en automatisch gebruikt wanneer u een verbinding initieert. Selecteer Installeren om door te gaan.

7. Voer een gebruikersnaam en wachtwoord in voor de bevoegdheden die vereist zijn om het profiel op uw computer te installeren. Klik op OK.

8. Nadat het profiel is geïnstalleerd, is het zichtbaar in het dialoogvenster Profielen . U kunt dit dialoogvenster ook later openen vanuit systeemvoorkeuren.

9. Als u toegang wilt krijgen tot de VPN-verbinding, opent u het dialoogvenster Netwerk vanuit systeemvoorkeuren.

10. De VPN-verbinding wordt weergegeven als IkeV2-VPN. Je kunt de naam veranderen door het .mobileconfig-bestand bij te werken.

11. Selecteer Verificatie-instellingen. Selecteer Gebruikersnaam in de lijst en voer uw referenties in. Als u de inloggegevens eerder hebt ingevoerd, wordt Gebruikersnaam automatisch gekozen in de lijst en worden de gebruikersnaam en het wachtwoord vooraf ingevuld. Selecteer OK om de instellingen op te slaan.

12. Selecteer in het NetwerkdialoogvensterToepassen om de wijzigingen op te slaan. Als u de verbinding wilt initiëren, selecteert u Verbinding maken.

Linux VPN-client - strongSwan

De volgende instructies gebruiken strongSwan 5.5.1 op Ubuntu 17.0.4.

1. Open de terminal om strongSwan en de bijbehorende netwerkbeheerder te installeren. Voer het commando uit in het volgende voorbeeld. Als je een foutmelding krijgt gerelateerd aan libcharon-extra-plugins, vervang deze door strongswan-plugin-eap-mschapv2.

2. Selecteer het pictogram Netwerkbeheer (pijl-omhoog/pijl-omlaag) en selecteer Verbindingen bewerken.

3. Selecteer de knop Toevoegen om een nieuwe verbinding te maken.

4. Selecteer IPsec/IKEv2 (strongswan) in de vervolgkeuzelijst en vervolgens Maken. Geef je verbinding in deze stap een nieuwe naam.

5. Open het VpnSettings.xml-bestand uit de map Algemeen van de gedownloade clientconfiguratiebestanden. Zoek de tag die wordt geroepen VpnServer en kopieer de naam, die begint met azuregateway en eindigt met .cloudapp.net.

6. Plak deze naam in het veld Adres van uw nieuwe VPN-verbinding in de sectie Gateway . Selecteer vervolgens het mappictogram aan het einde van het veld Certificaat , blader naar de map Algemeen en selecteer het VpnServerRoot-bestand .

7. Selecteer in de sectie Client van de verbinding EAP voor verificatie en voer uw gebruikersnaam en wachtwoord in. Mogelijk moet u het vergrendelingspictogram aan de rechterkant selecteren om deze informatie op te slaan. Selecteer vervolgens Opslaan.

8. Selecteer het pictogram Netwerkbeheer (pijl-omhoog/pijl-omlaag) en beweeg de muisaanwijzer over VPN-verbindingen. U ziet de VPN-verbinding die u hebt gemaakt. Als u de verbinding wilt initiëren, selecteert u deze.

Aanvullende stappen voor virtuele Azure-machine

Als je de procedure uitvoert op een Azure virtuele machine met Linux, voer dan de volgende stappen uit.

1. Bewerk het bestand /etc/netplan/50-cloud-init.yaml om de volgende parameter voor de interface toe te voegen.

   renderer: NetworkManager
   

2. Na het bewerken van het bestand voer je de volgende twee commando's uit om de nieuwe configuratie te laden.

   sudo netplan generate
   

   sudo netplan apply
   

3. Stop, start of implementeer de virtuele machine opnieuw.

Andere methoden en protocollen

Als u een ander verificatietype (bijvoorbeeld OTP) wilt gebruiken of een ander verificatieprotocol wilt gebruiken (zoals PEAP-MSCHAPv2 in plaats van EAP-MSCHAPv2), moet u uw eigen VPN-clientconfiguratieprofiel maken. Als je Point-to-Site VPN configureert met RADIUS en OpenVPN, is PAP momenteel de enige authenticatiemethode die wordt ondersteund tussen de gateway en de RADIUS-server. Als u het profiel wilt maken, hebt u informatie nodig, zoals het IP-adres van de virtuele netwerkgateway, het tunneltype en de split-tunnelroutes. U kunt deze informatie ophalen met behulp van de volgende stappen.

VPN-clientconfiguratiebestanden genereren

Je kunt de VPN-clientconfiguratiebestanden genereren door gebruik te maken van het Azure-portaal of Azure PowerShell.

Azure Portal

1. Ga naar de gateway van het virtuele netwerk.
2. Selecteer Point-to-Site configuratie.
3. Selecteer VPN-client downloaden.
4. Selecteer de klant en vul alle benodigde informatie in.
5. Selecteer Download om het .zip-bestand te genereren.
6. Het .zip bestand komt meestal terecht in je Downloads-map.

Azure PowerShell

Gebruik de cmdlet Get-AzVpnClientConfiguration om de VPN-clientconfiguratie voor EapMSChapv2 te genereren.

De bestanden weergeven en de VPN-client configureren

Pak het VpnClientConfiguration.zip bestand uit en zoek naar de map GenericDevice . Negeer de mappen met windows-installatieprogramma's voor 64-bits en 32-bits architecturen.

De map GenericDevice bevat een XML-bestand met de naam VpnSettings. Dit bestand bevat alle vereiste informatie:

• VpnServer: FQDN van de Azure VPN-gateway. Dit is het adres waarmee de client verbinding maakt.
• VpnType: Tunneltype dat u gebruikt om verbinding te maken.
• Routes: Routes die u in uw profiel moet configureren, zodat alleen verkeer dat is gebonden voor het virtuele Azure-netwerk via de P2S-tunnel wordt verzonden.

De map GenericDevice bevat ook een .cer bestand met de naam VpnServerRoot. Dit bestand bevat het basiscertificaat dat is vereist voor het valideren van de Azure VPN-gateway tijdens het instellen van de P2S-verbinding. Installeer het certificaat op alle apparaten die verbinding maken met het virtuele Azure-netwerk.

Gebruik de instellingen in de bestanden om uw VPN-client te configureren.

Volgende stappen 

Ga terug naar het P2S-configuratieartikel om uw verbinding te controleren.

Zie Problemen met punt-naar-site-verbindingen in Azure oplossen voor informatie over het oplossen van problemen met P2S.