Om användargrupper och IP-adresspooler för P2S-användar-VPN:er
Du kan konfigurera VPN:er för P2S-användare för att tilldela användare IP-adresser från specifika adresspooler baserat på deras identitets- eller autentiseringsuppgifter genom att skapa användargrupper. Den här artikeln beskriver de olika konfigurationer och parametrar som VPN-gatewayen virtual WAN P2S använder för att fastställa användargrupper och tilldela IP-adresser. Konfigurationssteg finns i Konfigurera användargrupper och IP-adresspooler för virtuella P2S-användare.
Den här artikeln beskriver följande begrepp:
- Begrepp för serverkonfiguration
- Användargrupper
- Gruppmedlemmar
- Standardprincipgrupp
- Gruppprioritet
- Tillgängliga gruppinställningar
- Gatewaybegrepp
- Konfigurationskrav och begränsningar
- Användningsfall
Begrepp för serverkonfiguration
I följande avsnitt beskrivs de vanliga termer och värden som används för serverkonfiguration.
Användargrupper (principgrupper)
En användargrupp eller principgrupp är en logisk representation av en grupp användare som ska tilldelas IP-adresser från samma adresspool.
Gruppmedlemmar (principmedlemmar)
Användargrupper består av medlemmar. Medlemmar motsvarar inte enskilda användare utan definierar snarare de kriterier som används för att avgöra vilken grupp en anslutande användare är en del av. En enda grupp kan ha flera medlemmar. Om en anslutande användare matchar de kriterier som angetts för en av gruppens medlemmar anses användaren vara en del av den gruppen och kan tilldelas en lämplig IP-adress. Vilka typer av medlemsparametrar som är tillgängliga beror på de autentiseringsmetoder som anges i VPN-serverkonfigurationen. En fullständig lista över tillgängliga villkor finns i avsnittet Tillgängliga gruppinställningar i den här artikeln.
Standardanvändare/principgrupp
För varje P2S VPN-serverkonfiguration måste en grupp väljas som standard. Användare som presenterar autentiseringsuppgifter som inte matchar några gruppinställningar anses vara en del av standardgruppen. När en grupp har skapats kan standardinställningen för den gruppen inte ändras.
Gruppprioritet
Varje grupp tilldelas också en numerisk prioritet. Grupper med lägre prioritet utvärderas först. Det innebär att om en användare visar autentiseringsuppgifter som matchar inställningarna för flera grupper anses de vara en del av gruppen med lägst prioritet. Om användaren A till exempel visar en autentiseringsuppgift som motsvarar IT-gruppen (prioritet 3) och ekonomigruppen (prioritet 4) betraktas användare A som en del av IT-gruppen i syfte att tilldela IP-adresser.
Tillgängliga gruppinställningar
I följande avsnitt beskrivs de olika parametrar som kan användas för att definiera vilka grupper medlemmar är en del av. De tillgängliga parametrarna varierar beroende på valda autentiseringsmetoder. I följande tabell sammanfattas tillgängliga inställningstyper och acceptabla värden. Mer detaljerad information om varje typ av medlemsvärde finns i avsnittet som motsvarar din autentiseringstyp.
| Authentication type | Medlemstyp | Medlemsvärden | Exempelvärde |
|---|---|---|---|
| Microsoft Entra ID | AADGroupID | Objekt-ID för Microsoft Entra-grupp | {objekt-ID-värde} |
| RADIUS | AzureRADIUSGroupID | Leverantörsspecifikt attributvärde (hexadecimalt) (måste börja med 6ad1bd) | 6ad1bd23 |
| Certifikat | AzureCertificateID | Certifikatets domännamn (CN=user@red.com) | röd |
Microsoft Entra-autentisering (endast OpenVPN)
Gatewayer som använder Microsoft Entra-autentisering kan använda Objekt-ID:t för Microsoft Entra-gruppen för att avgöra vilken användargrupp en användare tillhör. Om en användare ingår i flera Microsoft Entra-grupper anses de vara en del av P2S VPN-användargruppen som har den lägsta numeriska prioriteten.
Men om du planerar att låta användare som är externa (användare som inte är en del av Microsoft Entra-domänen som konfigurerats på VPN-gatewayen) ansluta till punkt-till-plats-VPN-gatewayen kontrollerar du att användartypen för den externa användaren är "Medlem" och inte "Gäst". Kontrollera också att användarens "namn" är inställt på användarens e-postadress. Om användartypen och namnet på den anslutande användaren inte har angetts korrekt enligt beskrivningen ovan eller om du inte kan ange att en extern medlem ska vara medlem i din Microsoft Entra-domän, tilldelas den anslutande användaren till standardgruppen och tilldelas en IP-adress från standard-IP-adresspoolen.
Du kan också identifiera om en användare är extern eller inte genom att titta på användarens "Användarens huvudnamn". Externa användare har #EXT i sitt "användarens huvudnamn".
Azure-certifikat (OpenVPN och IKEv2)
Gatewayer som använder certifikatbaserad autentisering använder domännamnet för användarcertifikatet Common Names (CN) för att avgöra vilken grupp en anslutande användare finns i. Vanliga namn måste ha något av följande format:
- domän/användarnamn
- username@domain.com
Kontrollera att domänen är indata som gruppmedlem.
RADIUS-server (OpenVPN och IKEv2)
Gatewayer som använder RADIUS-baserad autentisering använder ett nytt leverantörsspecifikt attribut (VSA) för att fastställa VPN-användargrupper. När RADIUS-baserad autentisering konfigureras på P2S-gatewayen fungerar gatewayen som en NPS-proxy (Network Policy Server). Det innebär att P2S VPN-gatewayen fungerar som en klient för att autentisera användare med RADIUS-servern med hjälp av RADIUS-protokollet.
När RADIUS-servern har verifierat användarens autentiseringsuppgifter kan RADIUS-servern konfigureras för att skicka ett nytt leverantörsspecifikt attribut (VSA) som en del av Access-Accept-paket. P2S VPN-gatewayen bearbetar VSA i Access-Accept-paketen och tilldelar specifika IP-adresser till användare baserat på värdet för VSA:erna.
Därför bör RADIUS-servrar konfigureras för att skicka en VSA med samma värde för alla användare som ingår i samma grupp.
Kommentar
Värdet för VSA måste vara en oktett hexadecimal sträng på RADIUS-servern och Azure. Den här oktettsträngen måste börja med 6ad1bd. De två sista hexadecimala siffrorna kan konfigureras fritt. Till exempel är 6ad1bd98 giltigt men 6ad12323 och 6a1bd2 skulle inte vara giltiga.
Den nya VSA:n är MS-Azure-Policy-ID.
VSA för MS-Azure-Policy-ID används av RADIUS-servern för att skicka en identifierare som används av P2S VPN-servern för att matcha en autentiserad RADIUS-användarprincip som konfigurerats på Azure-sidan. Den här principen används för att välja IP-/routningskonfigurationen (tilldelad IP-adress) för användaren.
Fälten i MS-Azure-Policy-ID MÅSTE anges på följande sätt:
- Leverantörstyp: Ett 8-bitars osignerat heltal som MÅSTE anges till 0x41 (heltal: 65).
- Leverantörslängd: Ett 8-bitars osignerat heltal som MÅSTE anges till längden på oktettsträngen i det attributspecifika värdet plus 2.
- Attributspecifikt värde: En oktettsträng som innehåller princip-ID som konfigurerats på Azures punkt-till-plats-VPN-server.
Konfigurationsinformation finns i RADIUS – konfigurera NPS för leverantörsspecifika attribut.
Gatewaybegrepp
När en VIRTUAL WAN P2S VPN-gateway tilldelas en VPN-serverkonfiguration som använder användar-/principgrupper kan du skapa flera P2S VPN-anslutningskonfigurationer på gatewayen.
Varje anslutningskonfiguration kan innehålla en eller flera användargrupper för VPN-serverkonfiguration. Varje anslutningskonfiguration mappas sedan till en eller flera IP-adresspooler. Användare som ansluter till den här gatewayen tilldelas en IP-adress baserat på deras identitet, autentiseringsuppgifter, standardgrupp och prioritet.
I det här exemplet har VPN-serverkonfigurationen följande grupper konfigurerade:
| Standardvärde | Prioritet | Group name | Authentication type | Medlemsvärde |
|---|---|---|---|---|
| Ja | 0 | Konstruktion | Microsoft Entra ID | groupObjectId1 |
| Nej | 1 | Ekonomi | Microsoft Entra ID | groupObjectId2 |
| Nej | 2 | PM | Microsoft Entra ID | groupObjectId3 |
Den här VPN-serverkonfigurationen kan tilldelas till en P2S VPN-gateway i Virtual WAN med:
| Konfiguration | Grupper | Adresspooler |
|---|---|---|
| Config0 | Teknik, PM | x.x.x.x/yyy |
| Config1 | Ekonomi | a.a.a.a/bb |
Följande resultat är:
- Användare som ansluter till den här P2S VPN-gatewayen tilldelas en adress från x.x.x.x/yy om de ingår i Microsoft Entra-grupperna Engineering eller PM.
- Användare som ingår i gruppen Finance Microsoft Entra tilldelas IP-adresser från a.a.a.a/bb.
- Eftersom teknik är standardgruppen antas användare som inte ingår i någon konfigurerad grupp vara en del av Teknik och tilldelas en IP-adress från x.x.x.x/yy.
Att tänka på vid konfigurationen
I det här avsnittet visas konfigurationskrav och begränsningar för användargrupper och IP-adresspooler.
Maximalt antal grupper: En enda P2S VPN-gateway kan referera till upp till 90 grupper.
Maximalt antal medlemmar: Det totala antalet princip-/gruppmedlemmar i alla grupper som tilldelats till en gateway är 390.
Flera tilldelningar: Om en grupp tilldelas flera anslutningskonfigurationer på samma gateway räknas den och dess medlemmar flera gånger. Exempel: En principgrupp med 10 medlemmar tilldelade till tre VPN-anslutningskonfigurationer räknas som tre grupper med 30 medlemmar, inte en grupp med 10 medlemmar.
Samtidiga användare: Det totala antalet samtidiga användare bestäms av gatewayens skalningsenhet och antalet IP-adresser som allokeras till varje användargrupp. Det bestäms inte av antalet princip-/gruppmedlemmar som är associerade med gatewayen.
När en grupp har skapats som en del av en VPN-serverkonfiguration kan inte namnet och standardinställningen för en grupp ändras.
Gruppnamnen ska vara distinkta.
Grupper som har lägre numerisk prioritet bearbetas före grupper med högre numerisk prioritet. Om en anslutande användare är medlem i flera grupper anser gatewayen att de är medlemmar i gruppen med lägre numerisk prioritet i syfte att tilldela IP-adresser.
Grupper som används av befintliga punkt-till-plats-VPN-gatewayer kan inte tas bort.
Du kan ändra ordning på prioriteringarna för dina grupper genom att klicka på de uppåtriktade pilknapparna som motsvarar den gruppen.
Adresspooler kan inte överlappa med adresspooler som används i andra anslutningskonfigurationer (samma eller olika gatewayer) i samma virtuella WAN.
Adresspooler kan inte heller överlappa med virtuella nätverksadressutrymmen, virtuella hubbadressutrymmen eller lokala adresser.
Användningsfall
Contoso Corporation består av flera funktionella avdelningar, till exempel ekonomi, personal och teknik. Contoso använder Azure Virtual WAN för att tillåta distansarbetare (användare) att ansluta till det virtuella WAN-nätverket och få åtkomst till resurser som finns lokalt eller i ett virtuellt nätverk som är anslutet till den virtuella WAN-hubben.
Contoso har dock interna säkerhetsprinciper där användare från ekonomiavdelningen bara kan komma åt vissa databaser och virtuella datorer, och användare från personalavdelningen har åtkomst till andra känsliga program.
Contoso kan konfigurera olika användargrupper för var och en av sina funktionella avdelningar. Detta säkerställer att användare från varje avdelning tilldelas IP-adresser från en fördefinierad adresspool på avdelningsnivå.
Contosos nätverksadministratör kan sedan konfigurera brandväggsregler, nätverkssäkerhetsgrupper (NSG) eller åtkomstkontrollistor (ACL: er) för att tillåta eller neka vissa användare åtkomst till resurser baserat på deras IP-adresser.
Nästa steg
- Information om hur du skapar användargrupper finns i Skapa användargrupper för P2S-användar-VPN.