Konfigurera punkt-till-plats-VPN-klienter: certifikatautentisering – macOS och iOS

Artikel
10/18/2023

Den här artikeln hjälper dig att ansluta till ditt virtuella Azure-nätverk (VNet) med hjälp av VPN Gateway punkt-till-plats (P2S) och certifikatautentisering. Det finns flera uppsättningar steg i den här artikeln, beroende på vilken tunneltyp du har valt för P2S-konfigurationen, operativsystemet och VPN-klienten som används för att ansluta.

Observera följande när du arbetar med certifikatautentisering:

För tunneltypen IKEv2 kan du ansluta med vpn-klienten som är internt installerad i macOS-systemet.
För OpenVPN-tunneltypen kan du använda en OpenVPN-klient.
Azure VPN-klienten är inte tillgänglig för macOS och iOS när du använder certifikatautentisering, även om du har valt OpenVPN-tunneltypen för P2S-konfigurationen.

Innan du börjar

Kontrollera att du har rätt artikel innan du börjar. I följande tabell visas de konfigurationsartiklar som är tillgängliga för Azure VPN Gateway P2S VPN-klienter. Stegen skiljer sig åt beroende på autentiseringstyp, tunneltyp och klientoperativsystem.

Autentisering	Tunneltyp	Generera konfigurationsfiler	Konfigurera VPN-klient
Azure-certifikat	IKEv2, SSTP	Windows	Intern VPN-klient
Azure-certifikat	OpenVPN	Windows	- OpenVPN-klient - Azure VPN-klient
Azure-certifikat	IKEv2, OpenVPN	macOS-iOS	macOS-iOS
Azure-certifikat	IKEv2, OpenVPN	Linux	Linux
Microsoft Entra ID	OpenVPN (SSL)	Windows	Windows
Microsoft Entra ID	OpenVPN (SSL)	macOS	macOS
RADIUS – certifikat	-	Artikel	Artikel
RADIUS – lösenord	-	Artikel	Artikel
RADIUS – andra metoder	-	Artikel	Artikel

Viktigt!

Från och med 1 juli 2018 tas stödet för TLS 1.0 och 1.1 bort från Azure VPN Gateway. VPN Gateway kommer endast att stödja TLS 1.2. Endast punkt-till-plats-anslutningar påverkas. plats-till-plats-anslutningar påverkas inte. Om du använder TLS för punkt-till-plats-VPN på Windows 10- eller senare klienter behöver du inte vidta några åtgärder. Om du använder TLS för punkt-till-plats-anslutningar på Windows 7- och Windows 8-klienter kan du läsa vanliga frågor och svar om VPN Gateway för uppdateringsinstruktioner.

Generera certifikat

För certifikatautentisering måste ett klientcertifikat installeras på varje klientdator. Det klientcertifikat som du vill använda måste exporteras med den privata nyckeln och måste innehålla alla certifikat i certifieringssökvägen. För vissa konfigurationer måste du också installera rotcertifikatinformation.

Information om hur du arbetar med certifikat finns i Punkt-till-plats: Generera certifikat – Linux.

Generera VPN-klientkonfigurationsfiler

Alla nödvändiga konfigurationsinställningar för VPN-klienterna finns i en ZIP-fil för VPN-klientprofilkonfiguration. Du kan generera konfigurationsfiler för klientprofiler med Hjälp av PowerShell eller med hjälp av Azure-portalen. Båda metoderna returnerar samma zip-fil.

Konfigurationsfilerna för VPN-klientprofilen som du genererar är specifika för konfigurationen av P2S VPN-gatewayen för det virtuella nätverket. Om det finns några ändringar i P2S VPN-konfigurationen när du har genererat filerna, till exempel ändringar av VPN-protokolltypen eller autentiseringstypen, måste du generera nya konfigurationsfiler för VPN-klientprofilen och tillämpa den nya konfigurationen på alla VPN-klienter som du vill ansluta till. Mer information om P2S-anslutningar finns i Om punkt-till-plats-VPN.

Så här genererar du filer med Hjälp av Azure-portalen:

I Azure-portalen går du till den virtuella nätverksgatewayen för det virtuella nätverk som du vill ansluta till.
På sidan virtuell nätverksgateway väljer du Punkt-till-plats-konfiguration för att öppna konfigurationssidan punkt-till-plats.
Längst upp på sidan Punkt-till-plats-konfiguration väljer du Ladda ned VPN-klient. Detta laddar inte ned VPN-klientprogramvara, utan genererar konfigurationspaketet som används för att konfigurera VPN-klienter. Det tar några minuter innan klientkonfigurationspaketet genereras. Under den här tiden kanske du inte ser några indikationer förrän paketet genererar.
När konfigurationspaketet har genererats anger webbläsaren att en zip-fil för klientkonfiguration är tillgänglig. Den heter samma namn som din gateway.
Packa upp filen för att visa mapparna. Du använder några eller alla av dessa filer för att konfigurera VPN-klienten. De filer som genereras motsvarar inställningarna för autentisering och tunneltyp som du konfigurerade på P2S-servern.

Konfigurera sedan VPN-klienten. Välj från följande instruktioner:

IKEv2: intern VPN-klient – macOS-steg
OpenVPN: macOS-steg
OpenVPN: iOS-steg

IKEv2: intern VPN-klient – macOS-steg

Följande avsnitt hjälper dig att konfigurera den interna VPN-klienten som redan är installerad som en del av macOS. Den här typen av anslutning fungerar endast via IKEv2.

Visa filer

Packa upp filen för att visa mapparna. När du konfigurerar interna macOS-klienter använder du filerna i mappen Generic . Mappen Generic finns om IKEv2 har konfigurerats på gatewayen. Du hittar all information som du behöver för att konfigurera den interna VPN-klienten i mappen Generic . Om du inte ser mappen Generic kontrollerar du följande objekt och genererar sedan zip-filen igen.

Kontrollera tunneltypen för konfigurationen. Det är troligt att IKEv2 inte har valts som tunneltyp.
På VPN-gatewayen kontrollerar du att SKU:n inte är Basic. VPN Gateway Basic SKU stöder inte IKEv2. Välj sedan IKEv2 och generera zip-filen igen för att hämta mappen Generic.

Mappen Generic innehåller följande filer.

Vpn Inställningar.xml, som innehåller viktiga inställningar som serveradress och tunneltyp.
VpnServerRoot.cer, som innehåller det rotcertifikat som krävs för att verifiera Azure VPN-gatewayen under P2S-anslutningskonfigurationen.

Använd följande steg för att konfigurera den interna VPN-klienten på Mac för certifikatautentisering. De här stegen måste slutföras på alla Mac-datorer som du vill ansluta till Azure.

Installera certifikat

Rotcertifikat

Kopiera till rotcertifikatfilen – VpnServerRoot.cer – till din Mac. Dubbelklicka på certifikatet. Beroende på operativsystemet installeras certifikatet antingen automatiskt eller så visas sidan Lägg till certifikat .
Om du ser sidan Lägg till certifikat för Nyckelring: klicka på pilarna och välj inloggning i listrutan.
Klicka på Lägg till för att importera filen.

Klientcertifikat

Klientcertifikatet används för autentisering och krävs. Vanligtvis kan du bara klicka på klientcertifikatet för att installera. Mer information om hur du installerar ett klientcertifikat finns i Installera ett klientcertifikat.

Kontrollera att certifikatet har installerats

Kontrollera att både klienten och rotcertifikatet är installerade.

Öppna åtkomst till nyckelringar.
Gå till fliken Certifikat .
Kontrollera att både klienten och rotcertifikatet är installerade.

Konfigurera VPN-klientprofil

Gå till Systeminställningar –> Nätverk. På sidan Nätverk klickar du på +för att skapa en ny VPN-klientanslutningsprofil för en P2S-anslutning till det virtuella Azure-nätverket.
På sidan Välj gränssnitt klickar du på pilarna bredvid Gränssnitt:. I listrutan klickar du på VPN.
För VPN-typ klickar du på IKEv2 i listrutan. I fältet Tjänstnamn anger du ett eget namn för profilen och klickar sedan på Skapa.
Gå till VPN-klientprofilen som du laddade ned. I mappen Generic öppnar du filen Vpn Inställningar.xml med hjälp av en textredigerare. I exemplet kan du se information om tunneltypen och serveradressen. Även om det finns två VPN-typer i listan ansluter den här VPN-klienten via IKEv2. Kopiera taggvärdet VpnServer .
Klistra in taggvärdet VpnServer i både fälten Serveradress och Fjärr-ID i profilen. Lämna lokalt ID tomt. Klicka sedan på Autentisering Inställningar....

Konfigurera autentiseringsinställningar

Konfigurera autentiseringsinställningar. Det finns två uppsättningar med instruktioner. Välj de instruktioner som motsvarar din os-version.

Big Sur och senare

På sidan Autentisering Inställningar för fältet Autentiseringsinställningar klickar du på pilarna för att välja Certifikat.
Klicka på Välj för att öppna sidan Välj en identitet .
På sidan Välj en identitet visas en lista med certifikat som du kan välja mellan. Om du är osäker på vilket certifikat som ska användas kan du välja Visa certifikat för att se mer information om varje certifikat. Klicka på rätt certifikat och klicka sedan på Fortsätt.
På sidan Autentisering Inställningar kontrollerar du att rätt certifikat visas och klickar sedan på OK.

Catalina

Om du använder Catalina använder du följande autentiseringsinställningar:

För Autentisering Inställningar välj Ingen.
Klicka på Certifikat, klicka på Välj och klicka på rätt klientcertifikat som du installerade tidigare. Klicka sedan på OK.

Ange certifikat

I fältet Lokalt ID anger du namnet på certifikatet. I det här exemplet är det P2SChildCertMac.
Klicka på Använd för att spara alla ändringar.

Anslut

Klicka på Anslut för att starta P2S-anslutningen till det virtuella Azure-nätverket. Du kan behöva ange ditt "inloggningslösenord".
När anslutningen har upprättats visas statusen som Anslut och du kan visa IP-adressen som hämtades från VPN-klientadresspoolen.

OpenVPN: macOS-steg

I följande exempel används TunnelBlick.

Viktigt!

Endast MacOS 10.13 och senare stöds med OpenVPN-protokollet.

Kommentar

OpenVPN-klientversion 2.6 stöds ännu inte.

Ladda ned och installera en OpenVPN-klient, till exempel TunnelBlick.
Om du inte redan har gjort det laddar du ned VPN-klientprofilpaketet från Azure-portalen.
Packa upp profilen. Öppna konfigurationsfilen vpnconfig.ovpn från mappen OpenVPN i en textredigerare.
Fyll i avsnittet för P2S-klientcertifikatet med P2S-klientcertifikatets offentliga nyckel i base64. I ett PEM-formaterat certifikat kan du öppna .cer-filen och kopiera över base64-nyckeln mellan certifikatrubrikerna.
Fyll i avsnittet för den privata nyckeln med P2S-klientcertifikatets privata nyckel i base64. Mer information om hur du extraherar en privat nyckel finns i Exportera din privata nyckel på OpenVPN-webbplatsen.
Ändra inga andra fält. Använd den ifyllda konfigurationen i klientindata för att ansluta till VPN.
Dubbelklicka på profilfilen för att skapa profilen i Tunnelblick.
Starta Tunnelblick från programmappen.
Klicka på Tunnelblick-ikonen i systemfältet och välj Anslut.

OpenVPN: iOS-steg

I följande exempel används OpenVPN-Anslut från App Store.

Viktigt!

Endast iOS 11.0 och senare stöds med OpenVPN-protokoll.

Kommentar

OpenVPN-klientversion 2.6 stöds ännu inte.

Installera OpenVPN-klienten (version 2.4 eller senare) från App Store. Version 2.6 stöds inte ännu.
Om du inte redan har gjort det laddar du ned VPN-klientprofilpaketet från Azure-portalen.
Packa upp profilen. Öppna konfigurationsfilen vpnconfig.ovpn från mappen OpenVPN i en textredigerare.
Fyll i avsnittet för P2S-klientcertifikatet med P2S-klientcertifikatets offentliga nyckel i base64. I ett PEM-formaterat certifikat kan du öppna .cer-filen och kopiera över base64-nyckeln mellan certifikatrubrikerna.
Fyll i avsnittet för den privata nyckeln med P2S-klientcertifikatets privata nyckel i base64. Mer information om hur du extraherar en privat nyckel finns i Exportera din privata nyckel på OpenVPN-webbplatsen.
Ändra inga andra fält.
Skicka profilfilen (.ovpn) till ditt e-postkonto som har konfigurerats i e-postappen på din i Telefon.
Öppna e-postmeddelandet i e-postappen på i Telefon och tryck på den bifogade filen.
Tryck på Mer om du inte ser alternativet Kopiera till OpenVPN.
Tryck på Kopiera till OpenVPN.
Tryck på LÄGG till på sidan Importera profil
Tryck på LÄGG till på sidan Importerad profil
Starta OpenVPN-appen och dra växeln på sidan Profil till höger för att ansluta