הקמת P2S VPN עם הזדהות של Azure AD

לפני כמה חודשים מיקרוסופט שחררה אפשרות לביצוע אימות בחיבור VPN Point-To-Site לרשת ב-Azure בעזרת הזדהות Azure AD.

בפוסט זה אסביר כיצד להגדיר אימות על בסיס Azure AD בחיבור VPN לרשת Azure.

מה זה Point-To-Site?

פתרון Point-To-Site מאפשר לנו ליצור חיבור מאובטח לרשת שלנו (במקרה שלנו הרשת ב-Azure) ממחשב קצה באופן פרטני בלי תלות במיקום המחשב.

חיבור Point-To-Site אינו מצריך ציוד VPN מתקדם ומאפשר לנו גישה לרשת ברגע שהמשתמש מפעיל את התחברות (VPN Client) Point-To-Site הוא פתרון מצוין כאשר רוצים להתחבר ל-VNET ממיקום מרוחק כמו מהבית, בית קפה או אפילו שיש מספר ספקים או לקוחות שצריכים להתחבר לסביבה באופן מאובטח ללא צורך להשתמש בהתקני חומרה יקרים.

איך מקימים את הפתרון?

1. ביצוע רישום לאפליקציה Azure VPN על Azure AD (יש צורך בהרשאות חזקות ב-Tennant).
2. הקמת VPN Gateway.
3. הפעלת Azure AD Authentication על VPN Gateway
4. התקנת VPN Client ויבוא VPN Profile.
5. חיבור ובדיקות תקינות.

אז בואו נתחיל לראות איך זה קורה

שלב 1 – ביצוע רישום לאפליקצית Azure VPN

מתחברים לפורטל Azure עם משתמש Global Admin ונכנסים ללינק הזה הפעלת Azure AD VPN

הערה: אין צורך לשנות כלום (אין צורך לשנות את ה-ID בכתובת URL).

בוחרים את המשתמש שאיתו אנחנו מחוברים (משתמש עם הרשאות Global Admin) ומאשרים את האפליקציה.

ניתן לראות את Azure VPN תחת Azure AD – Enterprise Application.

שלב 2 – הקמת VPN Gateway.

הולכים ל-Virtual Network  ומוודאים שיש Gateway Subnet

לאחר מכן, הולכים ל-Azure Virtual Network Gateway ומקיימים Gateway חדש.

הערה: VPN מסוג Basic לא תומך ב-OpenVPN.

שלב 3- הפעלת Azure AD Authentication על VPN Gateway

בזמן התקנת ה-Azure VPN, יש צורך לשמור מספר פרמטרים כדי להפעיל לאחר מכן את ה-VPN P2S בתצורה של Azure AD.
יש להעתיק את ה-Directory ID מ-Azure AD

יש להעתיק את ה-Application ID מ-Azure VPN

לאחר ששמרנו בצד את הערכים נוכל להתחיל בהגדרת Point-To-Site.

הולכים ל-Azure Gateway שיצרנו ובוחרים ב-Point-to-site configuration
מגדירים את ה-Pool שאיתו אנו מעוניינים להשתמש, תצורת הזדהות, מגדירים את ה-Tennat, Audience, Issuer ועושים שמירה.

• Tenant: https://login.microsoftonline.com/<DirectoryID>
• Audience: 41b23e61-6c1e-4545-b367-cd054e0ed4b4
• Issuer: https://sts.windows.net/<DirectoryID>

שלב 4 – הורדת VPN Client ויבוא הפרופיל

לאחר ביצוע כל ההגדרות נעבור לשלב ההתקנה של ה-VPN.

יש להוריד את ה-VPN Profile אפשר גם דרך הפורטל ע”י לחיצה על הכפתור Download VPN Client (נצטרך אותו בהמשך). בנוסף להתקין Azure VPN Client להורדה לחץ כאן

יש ללחוץ על + לעשות Import ולבחור את ה-VPN Profile שהורדנו בהתחלה.

לאחר ביצוע היבוא יש ללחוץ על Save

שלב 5 – חיבור וביצוע תקינות

לאחר שהגדרנו את הפרופיל נוכל להתחבר עם משתמש ב-Azure AD

נזין את הפרטים ונתחבר לסביבה שלנו בענן

הערה: יש לתת הרשאות למשתמשים שצריכים להתחבר דרך ה-VPN ע”י שיוך לאפליקציה Azure VPN ב-Azure AD

לסיכום

חיבור VPN Point-To-Site מאפשר לנו להתחבר מכל מקום בצורה מאובטחת ללא צורך בהתקנים יקרים אבל זה כמובן לא מה שחדש בפתרון. הוספת יכולת ההזדהות עם Azure AD במקום תעודה נותן רובד אבטחה חזק ומקטין את הסיכונים ע”י הוספת MFA ו/או Conditional Access בזמן החיבור.
בנוסף, מאפשר ניהול פשוט יותר לסביבה ע”י ניהול הרשאות לאפליקציה בעזרת Azure AD.

בהצלחה