VPN в сеть ent (Azure VPN)

В сеть контура ent люди входят только через Azure VPN. Вход рабочей учёткой @ellycorp.com с MFA. Центральный OpenVPN в ent не ведёт.

Нужен ли вам VPN. Приложения и ArgoCD контура открываются по обычным адресам *.ent.ellycorp.com без VPN, kubectl тоже работает без него. VPN нужен для прямого сетевого доступа: PostgreSQL, SQL, Redis, Key Vault по приватным адресам, RDP к серверам.

Кому доступно

Только участникам ролей role-ent-devops, role-ent-sre, role-ent-head, role-ent-dev-magi, role-ent-dev-rnd. Учётка вне ролей получит отказ на входе. Доступ запрашивается заявкой в #запрос-в-devops.

Шаг 1. Установить клиент

Система	Где взять
macOS 12 и новее	App Store, приложение «Azure VPN Client»
Windows 11	Microsoft Store, «Azure VPN Client», или `winget install Microsoft.AzureVPNClient`
Linux	не поддерживается: клиент снят Microsoft 31.08.2026

Шаг 2. Скачать профиль

Откройте шлюз в портале Azure: vgw-plurio-prod.
В меню слева выберите Point-to-site configuration.
Нажмите Download VPN client. Скачается zip-архив.
Распакуйте архив. Нужен файл AzureVPN/azurevpnconfig.xml.

Если портал отвечает «No access», вашей учётки нет в ролях выше.

Шаг 3. Импортировать и подключиться

В Azure VPN Client нажмите Import (в Windows: «+» слева внизу, затем Import).
Выберите azurevpnconfig.xml, нажмите Save.
Нажмите Connect. macOS спросит разрешение добавить конфигурацию VPN: Allow.
Войдите учёткой @ellycorp.com.

Проверка

После подключения вы получаете адрес из пула своей роли, 172.16.100–104.x. Проверить доступ можно так:

nc -vz 10.11.3.4 5432     # PostgreSQL
nc -vz 10.11.2.4 1433     # SQL

Подключаться к базам пока нужно по IP: имена серверов через VPN не разрешаются в приватные адреса.

Если не подключается

Клиент каждый раз переспрашивает вход. В azurevpnconfig.xml внутри блока <aad> добавьте строку и импортируйте профиль заново:
```
<applicationid>c632b3df-fb67-4d84-bdcf-b95ad541b5c8</applicationid>
```
Профиль обновили, а подключение падает. Удалите старый профиль в клиенте (Remove), полностью завершите приложение и импортируйте новый файл. Закрытие окна приложение не завершает.
Отказ на входе (AADSTS50105). Учётка не состоит ни в одной роли.

OpenVPN и Azure VPN одновременно

Оба клиента можно держать включёнными. Тем, кто ходит на elly-dc01/02 (Франкфурт, 10.30.15.64/27): Azure VPN тоже раздаёт эту подсеть. Чтобы она осталась за OpenVPN, добавьте в свой профиль OpenVPN перед строкой <ca> две строки и переподключитесь:

route 10.30.15.64 255.255.255.240
route 10.30.15.80 255.255.255.240

Вопросы: #запрос-в-devops.