Sono due modi opposti di far entrare chi sta fuori, e il blueprint li mette nello stesso task perché la scelta è di sicurezza, non di rete. Il gateway VPN estende la rete: chi si connette prende un indirizzo dal pool e raggiunge tutto quello che il routing gli concede. Microsoft Entra Private Access pubblica singole destinazioni: quel FQDN, su quella porta, e niente altro.

La crittografia che il gateway negozia davvero

Se non chiedi nulla, il gateway usa un set di proposte di default scelto per massimizzare l’interoperabilità con i dispositivi di terze parti in configurazione di fabbrica. Il prezzo lo paghi in compliance: le policy IKEv2 di Main Mode usano solo Diffie-Hellman Group 2, cioè 1024 bit. Se il tuo standard chiede Group 14, Group 24 o le curve ECP256/ECP384, serve una policy IPsec/IKE personalizzata.

La policy personalizzata è per connessione, non per gateway, e non esiste sullo SKU Basic. Tre punti su cui si sbaglia:

  • una sola combinazione per connessione, e completa: non puoi definire gli algoritmi IKE e lasciare IPsec al default, la specifica parziale non è ammessa;
  • sostituisce il set di default sia quando Azure è iniziatore sia quando è risponditore: se il dispositivo on-premises non propone esattamente quella combinazione, il tunnel non si alza. Una connessione VNet-to-VNet è fatta di due oggetti connection, uno per direzione, e la policy va su entrambi;
  • rimuoverla non lascia la connessione in chiaro: il gateway torna alle proposte di default e riavvia l’handshake IKE. Anche applicarla o aggiornarla costa qualche secondo di buco: la connessione viene abbattuta e rinegoziata.

La SA di IKE Main Mode è fissa a 28.800 secondi e non si tocca. La Quick Mode sì:

Quick Mode SA lifetime, secondi:   min 300,   default 27.000
Quick Mode SA lifetime, kilobyte:  min 1.024, default 102.400.000
DPD timeout, secondi:              min 9, max 3.600, default 45
UsePolicyBasedTrafficSelectors:    default False

Con GCMAES per la cifratura IPsec devi usare lo stesso algoritmo e la stessa lunghezza di chiave anche per l’integrità. E il DPD timeout e i traffic selector policy-based si impostano anche restando sulla policy Default: non passare a Custom solo per abbassare il DPD, che Microsoft consiglia di tenere fra 30 e 45 secondi.

Il protocollo di una connessione, IKEv1 o IKEv2, non si cambia dopo la creazione: si cancella e si ricrea. IKEv1 non supporta il rekey in place, quindi a ogni rekey di Main Mode il tunnel cade fino a cinque secondi: disconnessioni a intervalli regolari sono quello, non un problema di linea.

Point-to-site: il protocollo decide l’autenticazione

Il point-to-site richiede un gateway route-based. I protocolli sono tre — OpenVPN su TLS, SSTP solo su Windows, IKEv2 — ma il punto è che l’autenticazione con Microsoft Entra ID è supportata solo con OpenVPN e richiede l’Azure VPN Client. Se configuri tunnel type «IKEv2 e OpenVPN» e authentication type «Microsoft Entra ID e certificato Azure», Entra ID vale solo sul tunnel OpenVPN e i client IKEv2 continuano ad autenticarsi col certificato. È da qui che nasce la sensazione che «l’Accesso condizionale non si applica».

Ed è il motivo per cui quella strada conviene: è l’unica che porta Accesso condizionale e MFA sulla VPN. Il gateway supporta un solo valore di Audience per volta. Le app Azure VPN Client registrate manualmente vengono ritirate il 31 marzo 2028 nel cloud pubblico e il 31 marzo 2029 in Azure Government e nel cloud gestito da 21Vianet; il client per Linux non è più supportato dal 31 agosto 2026. Lo SKU Basic non supporta IKEv2, IPv6 né RADIUS.

Ultima insidia: Azure ruota periodicamente i certificati radice dei gateway P2S, e la migrazione tocca tutte le connessioni, non solo quelle a certificato. Il gateway continua a funzionare, ma il profilo client va rigenerato e ridistribuito.

Private Access: un’applicazione, non un tunnel

Private Access fa parte di Global Secure Access. Dichiari quali FQDN e indirizzi IP consideri privati e il Global Secure Access Client li intercetta e li tunnellizza al servizio: nessun profilo VPN da distribuire.

La differenza sostanziale è che ogni pubblicazione è una enterprise application: assegni utenti e gruppi e applichi l’Accesso condizionale per applicazione, non alla sessione intera. Ci sono due modi: Quick Access, il gruppo principale di destinazioni che vuoi sempre tunnellizzare, e le applicazioni Global Secure Access per l’accesso per-app. Microsoft è esplicita: Quick Access è uno stato di transizione, il per-app è la destinazione.

Prerequisiti veri: i ruoli Global Secure Access Administrator e Application Administrator, e un connector group con almeno un private network connector attivo — senza connettore l’applicazione non si crea. La versione minima del connettore è 1.5.3417.0, e uno vecchio va disinstallato e reinstallato, non aggiornato sul posto. Per i connector group servono Application Administrator e licenze Microsoft Entra ID P1 o P2.

Un application segment è destinazione, porta e protocollo: FQDN anche wildcard nella forma *.contoso.com, IP singolo, CIDR o intervallo da IP a IP, fino a 500 segmenti per app. I segmenti non possono sovrapporsi fra app Private Access, con un’eccezione: fra un’app Enterprise e Quick Access la sovrapposizione è ammessa proprio per consentire la sostituzione della VPN, e vince il segmento dell’app Enterprise. Ma le assegnazioni non si trasferiscono: chi arrivava alla risorsa via Quick Access resta bloccato finché non lo assegni alla nuova app. I gruppi annidati non sono supportati. Conta 15 minuti perché la modifica raggiunga i client.

Niente trasporta traffico finché non abiliti il profilo di inoltro:

Global Secure Access > Connect > Traffic forwarding > Private access profile