配置VPN客户端用于P2S Microsoft Entra ID认证连接

Azure VPN 客户端通过使用 KB4577063 热修复程序来支持 Windows FIPS 模式。

虽然适用于Windows的 Azure VPN 客户端可能适用于其他操作系统版本，但以下版本仅支持适用于 Windows 的 Azure VPN 客户端：

• 支持的 Windows 版本：Windows 11 on x64、x86 和 ARM64 架构。

Windows 工作流程

本文继续介绍为 Microsoft Entra ID 身份验证配置 P2S VPN 网关的步骤。 本节有助于：

1. 下载并安装适用于 Windows 的 Azure VPN 客户端。
2. 提取 VPN 客户端配置文件。
3. 用自定义受众值（如果适用）更新个人配置文件。
4. 将客户端配置文件设置导入 VPN 客户端。
5. 创建连接并连接到Azure。

下载Windows版Azure VPN客户端

Azure VPN 客户端可用的功能和设置取决于所使用的客户端版本。 有关 Azure VPN 客户端版本信息，请参阅 Azure VPN 客户端版本。

1. 使用以下链接之一下载最新版本的 Azure VPN 客户端安装文件：

   • 使用客户端安装程序文件进行安装：https://aka.ms/azvpnclientdownload。

   • 在客户端计算机上登录时直接安装：Microsoft Store。

   • 使用 Windows 程序包管理器 （WinGet） 进行安装。 可以运行以下命令来安装和了解有关 本文档中 WinGet 方法的详细信息。

     winget install Microsoft.AzureVPNClient --source winget
     

2. 将 Azure VPN 客户端安装到每台计算机。

3. 验证 Azure VPN 客户端是否有权在后台运行。 有关步骤，请参阅 Windows 后台应用。

4. 若要验证已安装的客户端版本，请打开 Azure VPN 客户端。 转到客户端底部并选择 ... -> ？帮助。 在右窗格中，可以看到客户端版本号。

提取 Windows 客户端配置文件

若要配置 Azure VPN 客户端配置文件，必须先从 Azure P2S 网关下载 VPN 客户端配置文件配置包。 此包专用于已配置的 VPN 网关，并包含配置 VPN 客户端所需的设置。 如果你使用了先决条件部分中提到的 P2S 服务器配置步骤，则已生成并已下载包含 VPN 配置文件的 VPN 客户端配置文件配置包。 如果需要生成配置文件，请参阅下载 VPN 客户端配置文件配置包。

获取 VPN 客户端配置包后，解压 zip 文件。 该 zip 文件包含 AzureVPN 文件夹。 AzureVPN 文件夹包含 azurevpnconfig_aad.xml 文件或 azurevpnconfig.xml 文件，具体取决于 P2S 配置是否包含多个身份验证类型。 如果没有看到 azurevpnconfig_aad.xml 或 azurevpnconfig.xml，或者没有 AzureVPN 文件夹，请验证 VPN 网关是否已配置为使用 OpenVPN 隧道类型，并且选择了Azure Active Directory（Microsoft Entra ID）身份验证。

修改 Windows 配置文件

如果 P2S 配置使用具有 Microsoft 注册应用 ID 的自定义受众，则每次连接时可能会显示弹出窗口，要求你再次输入凭据并完成身份验证。 重试身份验证通常会解决该问题。 发生这种情况的原因是 VPN 客户端配置文件需要自定义受众 ID 和 Microsoft 应用程序 ID。 若要防止这种情况，请修改您的配置文件 .xml 文件，以包括自定义应用程序 ID 和 Microsoft 应用程序 ID。

1. 要修改 Azure VPN 客户端配置 .xml 文件，请使用文本编辑器（如记事本）打开该文件。

2. 接下来，添加 applicationid 的值并保存更改。 以下示例显示了应用程序 ID 值 c632b3df-fb67-4d84-bdcf-b95ad541b5c8。

   Example

   <aad>
      <audience>{customAudienceID}</audience>
      <issuer>https://sts.chinacloudapi.cn/{tenant ID value}/</issuer>
      <tenant>https://login.chinacloudapi.cn/{tenant ID value}/</tenant>
      <applicationid>c632b3df-fb67-4d84-bdcf-b95ad541b5c8</applicationid> 
   </aad>
   

对于 Microsoft Azure VPN 客户端配置文件，为了便于用户身份验证，启用了一个新的字段来支持设备单一登录（SSO）。 了解更多关于 Azure VPN 客户端及设备 SSO的信息。

配置Azure VPN客户端以供Windows并连接

1. 打开Azure VPN 客户端。

2. 选择页面左下方的 +，然后选择“导入”。

3. 浏览到解压后的 Azure VPN 客户端配置文件夹。 打开 AzureVPN 文件夹并选择客户端配置文件（azurevpnconfig_aad.xml 或 azurevpnconfig.xml）。 选择“打开”以导入文件。

4. 在客户端资料页中，请注意，许多设置已被指定。 预配置的设置包含在已导入的 VPN 客户端配置文件包中。 即使已指定大部分设置，也需要配置特定于客户端计算机的设置。

5. 更改连接名称（可选）。 在此示例中可以看到，显示的受众值是与 Microsoft 注册的 Azure VPN 客户端应用 ID 关联的值。 此字段中的值必须与 P2S VPN 网关配置使用的值一致。

   

6. 单击“保存”以保存连接配置文件。

7. 在左窗格中，选择要使用的连接配置文件。 然后单击“连接”来启动连接。

8. 如果系统提示，请使用凭据进行身份验证。

9. 连接后，图标会变为绿色并显示“已连接”。

10. Azure VPN 客户端系统托盘在版本 4.0.0.0 及更高版本中提供，可让你关闭 Azure VPN 客户端应用程序，同时使连接保持活动状态。 关闭应用程序时，可以在 Windows 系统托盘中看到该应用程序。 可以通过单击托盘图标以压缩模式重新打开 Azure VPN 客户端应用。

    

导出和分发客户资料

创建有效的配置文件后，如果需要将其分发给其他用户，可使用以下步骤将其导出：

1. 突出显示您要导出的 VPN 客户端配置文件，先选择...，然后选择导出。

   

2. 选择要将此配置文件保存到的位置，保留默认的文件名，然后选择“保存”以保存 xml 文件。

删除客户资料

1. 选择要导出的 VPN 客户端配置文件，选择 ...，然后选择 移除。

2. 在确认弹出窗口中，选择“删除”以删除。

与 Windows 连接合作

自动连接

可将连接配置为使用 Always-on 自动连接。

1. 在 VPN 客户端的主页上，选择“VPN 设置”。 如果你看到“切换应用”对话框，选择 “是”。

   

2. 如果要配置的配置文件已连接，请先断开连接，然后突出显示该配置文件，然后勾选“自动连接”选项。

   

3. 选择“连接”启动 VPN 连接。

诊断连接问题

先决条件检查

如果你的 Azure VPN 客户端是 4.0.0.0 或更高版本，你可以运行前置条件检查，确认你的电脑已配置并安装了成功连接所需的功能。 若要查看已安装的 Azure VPN 客户端的版本号，请启动客户端，并选择“帮助”。

1. 在 Azure VPN 客户端页面底部选择......，然后选择“先决条件”。
2. 在 “测试应用程序先决条件 ”页上，选择“ 运行先决条件测试”。
3. 修复任何问题，然后重试连接。 有关详细信息，请参阅 Azure VPN 客户端先决条件检查。

诊断工具

1. 选择要诊断的 VPN 连接旁边的“...”以显示菜单。 然后选择“ 诊断”。

2. 在“连接属性”页上，选择“运行诊断”。 如果系统询问，请使用凭据登录，然后查看结果。

   

配置Windows自定义设置：DNS和路由

可以使用可选的配置设置来配置 Azure VPN 客户端，例如其他 DNS 服务器、自定义 DNS、强制隧道、自定义路由和其他设置。 有关详细信息，请参阅 Azure VPN 客户端 - 可选设置。

配置 Windows 设备单点登录

设备单点登录（SSO）允许用户一次性登录设备，并在使用 Azure VPN 客户端时使用该认证。 有关步骤，请参阅配置适用于 Windows 的设备 SSO - Azure VPN 客户端 - Microsoft Entra ID 身份验证。

在 Linux 上，Microsoft Entra ID 身份验证仅可通过已停用的适用于 Linux 的 Azure VPN 客户端使用。 受支持的 OpenVPN 和 strongSwan 替代方案不支持 Azure VPN 网关 P2S 连接中的 Microsoft Entra ID 身份验证。

要继续使用 Linux，请将网关更改为支持的认证方式，并迁移到支持的客户端。 有关可用的选项和迁移步骤，请参见“从 Linux 的 Azure VPN 客户端迁移”。

如果需要 Microsoft Entra ID 身份验证，请使用适用于 Windows 的 Azure VPN 客户端。