Azure VPN einrichten mit VPN Tracker: OpenVPN und IKEv2

Azure VPN auf Mac, iPhone und iPad lässt sich jetzt deutlich einfacher bereitstellen: VPN Tracker kann das vollständige Azure-Point-to-Site-Konfigurationspaket importieren, optimierte OpenVPN- und IKEv2-Verbindungen anlegen und die Azure-spezifische Zertifikatsprüfung automatisch konfigurieren.

Die hier beschriebenen Konfigurationen wurden mit echten Azure-Gateways und realem Datenverkehr getestet. Unterstützt werden zertifikatsbasiertes OpenVPN, IKEv2 mit EAP-TLS, IKEv2 mit RADIUS über EAP-TLS oder EAP-MSCHAPv2 sowie IKEv2-Profile für Azure Virtual WAN. Microsoft-Entra-ID-Authentifizierung gehört weiterhin nicht zum unterstützten VPN-Tracker-Ablauf.

Aktueller Stand der Azure-Kompatibilität in VPN Tracker

• Azure VPN Gateway OpenVPN: mit Zertifikatsauthentifizierung unterstützt und mit echtem Datenverkehr getestet.
• Azure VPN Gateway IKEv2: mit EAP-TLS unterstützt und mit echtem Datenverkehr getestet.
• RADIUS mit IKEv2: mit EAP-TLS und EAP-MSCHAPv2 im Live-Betrieb getestet.
• Azure Virtual WAN: Globale IKEv2-Profile mit mehreren vertrauenswürdigen Root-Zertifikaten werden unterstützt. Globale OpenVPN-Profile mit mehreren Root-Zertifikaten werden derzeit nicht unterstützt; Multi-Hub-Installationen sollten in einem Pilotprojekt geprüft werden.
• Microsoft Entra ID: derzeit nicht in VPN Tracker unterstützt; Microsofts Ablauf setzt den Azure VPN Client voraus.
• SSTP: nur noch für die Migration bestehender Installationen. Die Aktivierung neuer Azure-SSTP-Konfigurationen endete am 31. August 2026.

Welche VPN-Protokolle unterstützt Azure?

Azure VPN Gateway unterstützt für Point-to-Site-Verbindungen OpenVPN, IKEv2 und das veraltete SSTP. Verwenden Sie für neue VPN-Tracker-Installationen OpenVPN oder IKEv2.

• OpenVPN: TLS-basiert und häufig die beste Wahl in restriktiven Netzwerken, da TCP 443 verwendet werden kann. VPN Tracker unterstützt Azure-Zertifikatsprofile. Microsoft-Entra-ID-Profile werden nicht unterstützt.
• IKEv2: Standardisiertes IPsec mit zuverlässigem Wechsel zwischen WLAN und Mobilfunk. VPN Tracker unterstützt EAP-TLS sowie getestete RADIUS-Konfigurationen mit EAP-TLS oder EAP-MSCHAPv2. Client-Netzwerke müssen ausgehend normalerweise UDP 500 und 4500 erlauben.
• SSTP: für neue Azure-Konfigurationen eingestellt. Verwenden Sie es nur noch während der Migration einer bestehenden Installation.

Microsofts aktuelle Zuordnung von Protokollen und Authentifizierungsmethoden finden Sie unter Informationen zu Azure Point-to-Site VPN.

Welches VPN ist für Azure am besten?

OpenVPN ist der beste allgemeine Ausgangspunkt, wenn Benutzer aus unterschiedlichen Netzwerken zugreifen oder ausgehender IPsec-Verkehr blockiert sein könnte. Verwenden Sie für VPN Tracker ein zertifikatsauthentifiziertes Azure-OpenVPN-Profil und das für das Gateway erzeugte Konfigurationspaket.

IKEv2 eignet sich häufig besonders gut für verwaltete Apple-Installationen, die bereits Client-Zertifikate nutzen und nach einem Wechsel zwischen WLAN und Mobilfunk schnell wieder verbinden sollen. Wählen Sie IKEv2 nur, wenn UDP 500 und 4500 erlaubt sind.

Wenn Ihr Gateway aktuell SSTP verwendet, ist die Protokollwahl Teil eines Migrationsprojekts. IKEv2 zusätzlich zu SSTP zu aktivieren, ist der am wenigsten disruptive schrittweise Weg. Der Wechsel zu OpenVPN erfordert einen koordinierten Umstellungstermin, da Azure SSTP und OpenVPN nicht gleichzeitig auf demselben Gateway betreiben kann. IKEv2 und OpenVPN können dagegen parallel verwendet werden.

Voraussetzungen

Sie benötigen Azure-Administratorzugriff und ein routenbasiertes Azure VPN Gateway oder eine unterstützte Virtual-WAN-Installation mit Point-to-Site-Konfiguration. Prüfen Sie vor dem Import:

• Der gewählte Tunnel und die Authentifizierungsmethode sind am Gateway aktiviert.
• Der Client-Adresspool überschneidet sich weder mit dem virtuellen Azure-Netzwerk noch mit lokalen Benutzer-Netzen.
• Jeder Zertifikatsbenutzer beziehungsweise jedes verwaltete Gerät besitzt ein eindeutiges Client-Authentication-Zertifikat mit privatem Schlüssel und vollständiger Kette.
• Interne DNS-Server und Suchdomänen sind bekannt, falls Azure sie nicht in das Profil schreibt.
• Nach der letzten Gateway- oder Zertifikatsänderung wurde ein neues Azure-VPN-Client-Konfigurationspaket erzeugt.

Verwenden Sie pro Benutzer oder verwaltetem Gerät ein separates Client-Zertifikat, damit einzelne Zugänge widerrufen werden können. Verteilen Sie private Schlüssel niemals per gewöhnlicher E-Mail oder Chat.

Das vollständige Azure-Konfigurationspaket importieren

1. Speichern Sie im Azure-Portal die Point-to-Site-Konfiguration und laden Sie ein neues VPN-Client-Konfigurationspaket herunter.
2. Lassen Sie das Paket als ZIP-Datei gepackt.
3. Wählen Sie in VPN Tracker New from File und öffnen Sie die heruntergeladene ZIP-Datei.
4. Wählen Sie die unterstützte OpenVPN- oder IKEv2-Verbindung aus dem Paket und vergeben Sie einen eindeutigen Namen.
5. Falls VPN Tracker nach einem Client-Zertifikat fragt, wählen Sie das Zertifikat des betreffenden Benutzers oder Geräts. Ist genau ein passendes Zertifikat vorhanden, kann VPN Tracker es automatisch zuordnen.
6. Stellen Sie die Verbindung her und prüfen Sie eine interne IP-Adresse, einen internen DNS-Namen und die tatsächlich benötigten Anwendungen.

Mit OpenVPN zu Azure verbinden

Wählen Sie für OpenVPN entweder OpenVPN (SSL) oder IKEv2 and OpenVPN (SSL).

Azure konfigurieren

1. Öffnen Sie im Azure-Portal Virtual network gateway > Point-to-site configuration.
2. Wählen Sie OpenVPN (SSL) oder IKEv2 and OpenVPN (SSL).
3. Wählen Sie für diesen VPN-Tracker-Ablauf Azure certificate, laden Sie die öffentlichen Daten der vertrauenswürdigen Client-Root-CA hoch und speichern Sie die Gateway-Konfiguration.
4. Erzeugen Sie ein neues VPN-Client-Konfigurationspaket und laden Sie es herunter.

Azure unterstützt mehrere Authentifizierungsmethoden. Wählen Sie für den VPN-Tracker-Ablauf dieser Anleitung Azure certificate.

Microsoft Entra ID wird in VPN Tracker nicht unterstützt. Entra ID ist nur für OpenVPN verfügbar, und Microsofts dokumentiertes Profil setzt den Azure VPN Client voraus. Verwenden Sie für den hier beschriebenen Ablauf Azure-Zertifikatsauthentifizierung.

OpenVPN-Verbindung in VPN Tracker erstellen

1. Wählen Sie New from File und öffnen Sie das vollständige Azure-ZIP-Paket.
2. Wählen Sie die importierte OpenVPN-Verbindung.
3. Wählen Sie bei Aufforderung das passende Client-Zertifikat. VPN Tracker kann ein eindeutiges passendes Zertifikat automatisch zuordnen.
4. Übernehmen Sie Gateway-Adresse, Protokoll, Port, Routen und DNS-Einstellungen aus dem Import. Ersetzen Sie den Azure-FQDN nicht durch eine IP-Adresse.
5. Verbinden Sie sich aus einem Netzwerk außerhalb von Azure und prüfen Sie IP-Zugriff und internes DNS.

Wenn nur ein entpacktes Profil vorliegt, können Sie OpenVPN/vpnconfig.ovpn weiterhin manuell importieren. Der Import des vollständigen ZIP-Pakets wird empfohlen, da dabei mehr Azure-Kontext erhalten bleibt.

Importieren Sie das Azure-OpenVPN-Profil und prüfen Sie anschließend Gateway-Adresse, Port 443 und Netzwerkkonfiguration.

Mit IKEv2 zu Azure verbinden

Wählen Sie für IKEv2 entweder IKEv2 oder IKEv2 and OpenVPN (SSL).

Azure konfigurieren

1. Wählen Sie unter Virtual network gateway > Point-to-site configuration den Tunneltyp IKEv2 oder IKEv2 and OpenVPN (SSL).
2. Laden Sie für Zertifikatsauthentifizierung die vertrauenswürdige Client-Root-CA hoch und stellen Sie pro Benutzer oder Gerät ein Client-Authentication-Zertifikat mit privatem Schlüssel aus.
3. Speichern Sie die Konfiguration und erzeugen Sie ein neues VPN-Client-Konfigurationspaket.
4. Stellen Sie sicher, dass Client-Netzwerke ausgehend UDP 500 und 4500 erlauben.

Erzeugen Sie nach dem Speichern der Point-to-Site-Konfiguration ein aktuelles VPN-Client-Profilpaket und laden Sie es herunter.

IKEv2-Verbindung in VPN Tracker erstellen

1. Wählen Sie New from File und öffnen Sie das vollständige Azure-ZIP-Paket.
2. Wählen Sie die importierte IKEv2-Verbindung und bei Aufforderung das passende Client-Zertifikat.
3. Übernehmen Sie für Azure-Zertifikatsauthentifizierung EAP with User Certificate (EAP-TLS).
4. Lassen Sie die Serverprüfung aktiviert. Aktuelle Importe verwenden Verify Against Certificate; die Remote Identity muss nicht manuell auf den Gateway-FQDN gesetzt werden.
5. Verbinden Sie sich und testen Sie eine interne IP-Adresse sowie einen DNS-Namen. Ergänzen Sie Routen oder DNS nur, wenn Azure sie nicht bereitgestellt hat.

Für die manuelle Einrichtung enthält das Paket Generic/VpnSettings.xml. Ältere Anleitungen erwähnen zusätzlich den Upload von VpnServerRoot.cer und eine manuell eingetragene Remote Identity. Beim Import des vollständigen Pakets sind diese Schritte normalerweise nicht erforderlich.

Importierte Azure-IKEv2-Einstellungen verwenden EAP-TLS und eine zertifikatsbasierte Serverprüfung; eine manuelle Remote Identity ist normalerweise nicht erforderlich.

RADIUS mit IKEv2 verwenden

VPN Tracker wurde mit Azure IKEv2 und RADIUS sowohl über EAP-TLS als auch über EAP-MSCHAPv2 im Live-Betrieb getestet. Wählen Sie in VPN Tracker die passende Benutzerauthentifizierung: ein Benutzerzertifikat für EAP-TLS beziehungsweise Benutzername und Passwort für EAP-MSCHAPv2. Testen Sie vor dem Rollout den vollständigen Weg von VPN Tracker über Azure bis zum RADIUS-Server, einschließlich Zertifikatsketten, Richtlinien und Timeouts.

Azure-Virtual-WAN-Profile

Globale Azure-Virtual-WAN-IKEv2-Profile mit mehreren vertrauenswürdigen Root-Zertifikaten lassen sich ohne manuelle Identity-Änderungen importieren und verbinden. Ein globales OpenVPN-Profil mit mehreren Root-Zertifikaten wird derzeit nicht unterstützt. Multi-Hub-Installationen wurden noch nicht im gleichen Umfang Ende-zu-Ende geprüft; testen Sie deshalb das konkrete heruntergeladene Paket vor einer breiten Verteilung.

Azure VPN im Team ausrollen

Erstellen und testen Sie für jedes freigegebene Protokoll eine Referenzverbindung. Mit VPN Tracker TeamCloud können Administratoren Azure-VPN-Verbindungen Ende-zu-Ende-verschlüsselt teilen und Routen, DNS, Gateway-Einstellungen und Zugriffszuweisungen zentral aktualisieren.

1. Importieren Sie das Azure-ZIP-Paket und prüfen Sie eine Referenzverbindung aus Heim-, Büro-, Hotspot- und Gastnetzwerken.
2. Verwenden Sie getrennte, eindeutig benannte Verbindungen für Produktion, Staging, Regionen oder virtuelle Netzwerke.
3. Ordnen Sie jedes Client-Zertifikat und den privaten Schlüssel ausschließlich dem jeweiligen Benutzer oder verwalteten Gerät zu.
4. Dokumentieren Sie Authentifizierung, Zertifikatslaufzeit, Routen, DNS-Verhalten, Verantwortliche und Rollback.
5. Arbeiten Sie mit gruppenbasierten Berechtigungen und entziehen Sie Zugriffe zeitnah bei Rollenwechseln.

iPhone und iPad: VPN Tracker kann die importierte Azure-Konfiguration unter iOS verwenden, iOS bietet derzeit jedoch nicht die gleiche Zertifikatsauswahl wie macOS. Installieren Sie pro Gerät genau ein eindeutig passendes Benutzerzertifikat und prüfen Sie die Verbindung auf physischen Geräten vor einem breiten Rollout.

Fehlerbehebung bei Azure-VPN-Verbindungen

• Das ZIP-Paket lässt sich nicht importieren: Erzeugen Sie nach dem Speichern der Azure-Point-to-Site-Konfiguration ein neues Client-Paket. Importieren Sie die ZIP-Datei selbst, nicht einen übergeordneten Ordner oder eine nicht zugehörige AzureVPN-XML-Datei.
• Zertifikatsauthentifizierung schlägt fehl: Prüfen Sie, ob das Client-Zertifikat den privaten Schlüssel enthält, für Client Authentication gültig ist, zu einer in Azure hinterlegten Root-CA gehört und weder abgelaufen noch widerrufen ist.
• Kein Client-Zertifikat ist ausgewählt: Installieren Sie Benutzerzertifikat und vollständige Kette. Falls mehrere Zertifikate passen, beseitigen Sie die Mehrdeutigkeit oder wählen Sie unter macOS das richtige Zertifikat; installieren Sie unter iOS ein eindeutig passendes Zertifikat.
• Serveridentität kann nicht geprüft werden: Importieren Sie ein neu erzeugtes Paket und lassen Sie Verify Against Certificate aktiviert. Erzwingen Sie die Remote Identity nicht manuell als Gateway-FQDN, sofern dies nicht für eine bestimmte ältere Konfiguration erforderlich ist.
• RADIUS-Authentifizierung schlägt fehl: Verwenden Sie auf beiden Seiten dieselbe Methode – EAP-TLS oder EAP-MSCHAPv2 – und prüfen Sie anschließend RADIUS-Richtlinie, Zertifikatsvertrauen, Anmeldedaten, Erreichbarkeit und Timeout-Protokolle.
• VPN ist verbunden, Ressourcen sind aber nicht erreichbar: Vergleichen Sie VNet-Bereiche mit den importierten Remote-Netzwerken und prüfen Sie Network Security Groups, benutzerdefinierte Routen, Peering, Rückrouting und Ziel-Firewalls.
• IP-Adressen funktionieren, Namen jedoch nicht: Prüfen Sie, ob interne DNS-Server und Suchdomänen enthalten und durch den Tunnel erreichbar sind.
• OpenVPN funktioniert, IKEv2 jedoch nicht: Testen Sie ein anderes Netzwerk; Gastnetze blockieren häufig UDP 500 oder 4500.
• Ein Virtual-WAN-OpenVPN-Profil enthält mehrere Root-Zertifikate: Diese globale Multi-Root-OpenVPN-Konfiguration wird derzeit nicht unterstützt. Verwenden Sie ein unterstütztes IKEv2-Profil oder prüfen Sie einen anderen Aufbau des Azure-Pakets.
• Eine Anmeldung mit Microsoft Entra ID wird erwartet: Entra-ID-Profile setzen den Azure VPN Client voraus und werden in VPN Tracker nicht unterstützt.
• Ein Profil funktioniert nach einer Azure-Änderung oder Zertifikatsrotation nicht mehr: Erzeugen und importieren Sie ein neues Client-Konfigurationspaket.

Bestehende SSTP-Verbindungen migrieren

Beginnen Sie keine neue Azure-SSTP-Installation. Microsoft unterstützt die Aktivierung von SSTP auf Azure-VPN-Gateways seit dem 31. August 2026 nicht mehr. Bestehende SSTP-Verbindungen sollen nach dem 31. März 2027 nicht mehr funktionieren. Weitere Informationen finden Sie in Microsofts Anleitung zur SSTP-Einstellung und Migration.

Azure lehnt neue SSTP-Konfigurationen ab und fordert Administratoren auf, IKEv2 oder OpenVPN auszuwählen.

Behalten Sie eine bestehende VPN-Tracker-SSTP-Verbindung nur so lange bei, wie sie für eine geordnete Migration erforderlich ist:

1. Erfassen Sie alle betroffenen Gateways, Benutzer, Zertifikate, Routen, DNS-Einstellungen und geschäftskritischen Ressourcen.
2. Aktivieren Sie für die risikoärmste schrittweise Migration IKEv2 zusätzlich zu SSTP, erzeugen Sie neue Client-Profile und stellen Sie die Benutzer in kontrollierten Gruppen um.
3. Wenn OpenVPN bevorzugt wird, planen Sie ein festes Umstellungsfenster. SSTP und OpenVPN können nicht gleichzeitig auf demselben Azure-Gateway betrieben werden; bestehende SSTP-Benutzer verlieren beim Wechsel zunächst ihre Verbindung.
4. Testen Sie die neue VPN-Tracker-Verbindung mit einer Pilotgruppe, prüfen Sie Zugriff und DNS und verteilen Sie sie anschließend an die übrigen Benutzer.
5. Entfernen Sie veraltete SSTP-Verbindungen und Zertifikate, nachdem die Migration abgeschlossen und dokumentiert ist.

Unterstützung bei der SSTP-Migration

Sicher von SSTP umsteigen

Müssen Sie eine bestehende Azure-SSTP-Installation auf IKEv2 oder OpenVPN umstellen? VPN Tracker Consulting unterstützt Sie bei der Analyse, der Protokollwahl, der Planung des Umstiegs und einem kontrollierten Rollout im Team.

SSTP-Migration planen

Demnächst für Windows

Vorschau auf VPN Tracker für Windows

Planen Sie einen gemischten Mac- und Windows-Rollout? Informieren Sie sich über die Vorschau auf VPN Tracker für Windows und den aktuellen Entwicklungsstand, bevor Sie die Bereitstellung abschließen.

VPN Tracker für Windows entdecken

Häufige Fragen

Kann Azure OpenVPN und IKEv2 gleichzeitig verwenden?

Ja. Azure VPN Gateway kann parallel für IKEv2 und OpenVPN konfiguriert werden. Das ist nützlich, wenn Benutzergruppen oder Netzwerkbedingungen unterschiedliche Protokolle erfordern.

Kann Azure OpenVPN und SSTP gleichzeitig verwenden?

Nein. Beide sind TLS-basierte Protokolle und können nicht gemeinsam auf demselben Azure VPN Gateway betrieben werden. Ein Wechsel von SSTP zu OpenVPN erfordert daher eine geplante Umstellung.

Funktioniert Microsoft Entra ID mit VPN Tracker?

Nein. Azure bietet Entra ID nur für OpenVPN über den Azure-VPN-Client-Ablauf an. VPN Tracker unterstützt derzeit die in dieser Anleitung beschriebenen Azure-Zertifikats- und getesteten IKEv2-RADIUS-Konfigurationen, jedoch keine Entra-ID-Profile.

Sollte jeder Benutzer ein eigenes Client-Zertifikat erhalten?

Verwenden Sie nach Möglichkeit ein eigenes Zertifikat pro Benutzer oder verwaltetem Gerät. Eindeutige Zertifikate ermöglichen es, einen einzelnen Benutzer oder ein einzelnes Gerät zu sperren, ohne die Zugangsdaten des gesamten Teams auszutauschen.

Wo kann ich eine Azure-Verbindung in VPN Tracker beginnen?

Laden Sie das aktuelle Azure-VPN-Client-Konfigurationspaket herunter, wählen Sie in VPN Tracker New from File und öffnen Sie die vollständige ZIP-Datei. Für eine manuelle Einrichtung können Sie weiterhin den Azure Connection Creator verwenden.

Mit VPN Tracker zu Azure verbinden

Erstellen Sie eine Azure-Point-to-Site-Verbindung für OpenVPN oder IKEv2, speichern Sie sie sicher in Ihrem VPN-Tracker-Account und verwenden Sie sie auf Mac, iPhone und iPad. Testen Sie die Verbindung zunächst mit einem Pilotbenutzer, bevor Sie sie im Team verteilen.

Ihre Vorteile mit VPN Tracker

• Sicherer Remote-Zugriff auf private Azure-Ressourcen
• Vollständiger Azure-Paketimport für OpenVPN und IKEv2
• Zentraler Team-Rollout mit TeamCloud
• Für Mac, iPhone und iPad

Azure-VPN-Verbindung erstellen