أي عميل يستطيع إكمال تسجيل الدخول عبر SAML في AWS Client VPN
أسطح مكتب Linux المزوّدة بعميل AWS تستطيع إتمام تسليم المتصفح عبر SAML؛ أما استيراد OpenVPN عام على Android فلا يستطيع. ثلاثة شروط تحدد حالتك.
شخصان يطرحان السؤال نفسه عن AWS Client VPN وSAML، ويحصلان على جوابين متعاكسين. أحدهما يسجّل الدخول من حاسوب Ubuntu المحمول كل صباح؛ والآخر لديه هاتف وملف تعريف مُنزَّل وعميل يرفض سطرًا فيه. الفرق ليس حظًا ولا مفتاحًا خفيًا في لوحة التحكم. الأمر يتعلق بثلاثة شروط: هل المنصة من المنصات التي تدعمها AWS لعميلها الخاص، وهل الأداة التي بيدك قادرة على تنفيذ تبادل المتصفح الموحّد، وهل نقطة النهاية مهيأة لـSAML أصلًا. أخطئ في أي من الثلاثة وستتوقف عملية تسجيل الدخول عند نقطة مختلفة.
ثلاثة شروط تحدد ما إذا كان تسجيل الدخول سيكتمل
المنصة تأتي أولًا. تصدر AWS عميل Client VPN الخاص بها لنظامي Windows وmacOS ولـUbuntu على AMD64، واعتبارًا من أواخر أكتوبر 2026 تذكر صفحة متطلبات Linux إصدارات Ubuntu 22.04 و24.04 و26.04. قد يعمل بناء مُعاد تجميعه أو حزمة محوّلة أو توزيعة مختلفة، لكنها ليست منصة مدعومة، وحين تتعطل تكون أنت خط الدعم.
العميل يأتي ثانيًا. تسجيل الدخول الموحّد ليس خيارًا في ملف التعريف يفسّره كل تطبيق متوافق مع OpenVPN. العميل المرفق يفتح مزوّد الهوية في المتصفح، ويستقبل استجابة المصادقة الموقّعة، ويقدّم تلك الاستجابة إلى نقطة النهاية. أما التطبيق الذي يقرأ ملف التعريف فقط ويُقيم نفقًا فهو لا ينفّذ هذه الخطوة، مهما بدا سجل اتصاله نظيفًا.
نقطة النهاية تأتي ثالثة. نقطة النهاية التي تستخدم بيانات اعتماد Active Directory أو شهادات متبادلة لها ترتيب مختلف تمامًا، وتبديل العملاء لن يغيّره. أكّد وضع المصادقة مع الجهة التي أصدرت ملف التعريف قبل أن تبدأ تشخيص أي شيء آخر.
معًا، تعطي الشروط الثلاثة جدول قرار قصير:
| Platform | AWS-provided client | Completes the SAML exchange | What that means |
|---|---|---|---|
| Ubuntu 22.04 / 24.04 / 26.04, AMD64 | Yes | Yes | Normal sign-in path; debug stages, not platforms |
| Windows or macOS | Yes | Yes | Same path, different installer |
| Android | No published client | No | Needs a different access design, not a different profile |
| Other Linux distributions | No | Depends on the tool | Runs at your own support risk |
لماذا يتوقف استيراد OpenVPN عند auth-federate
ملف تعريف AWS Client VPN المُصدَّر يحمل توجيهًا يخبر العميل بأن المصادقة تحدث خارج النفق، عبر الاتحاد. عميل OpenVPN العام إما يرفض السطر رفضًا صريحًا أو يتجاهله ثم لا يجد أي بيانات اعتماد يقدّمها. هنا تنتهي معظم محاولات Android: يُستورد ملف التعريف، أو يعترض التطبيق، أو يموت الاتصال بخطأ في التكوين قبل أن تغادر أي حزمة الجهاز.
حذف auth-federate هو الخطوة التالية المُغرية، وهي تحوّل فشلًا واضحًا إلى فشل مربك. إزالة توجيه لا تحوّل نقطة نهاية SAML إلى مصادقة باسم مستخدم وكلمة مرور. نقطة النهاية ما زالت تتوقع استجابة SAML موقّعة وترفض ما يرسله العميل بدلًا منها. كلمة مرور حسابك وملف التعريف المُنزَّل وتوكيد منسوخ ليست بيانات اعتماد قابلة للتبادل.
تسجيل الدخول إلى مزوّد الهوية في Chrome على الهاتف يثبت فقط أن مزوّد الهوية قبل المستخدم. ولا يقول شيئًا عن وصول الاستجابة إلى عميل قادر على إعادتها إلى نقطة النهاية. إنّ متطلبات المصادقة الموحّدة تجعل العميل المرفق جزءًا من المسار لهذا السبب بالضبط: خطوة المتصفح ضرورية وغير كافية.
كيف يبدو مسار سطح مكتب Linux المدعوم
ثبّت الحزمة التي تنشرها AWS لـUbuntu AMD64 بمدير حزم النظام، ثم افتح الاتصال من ذلك العميل بدلًا من استيراد ملف التعريف إلى تطبيق VPN عام. استخدم ملف التعريف الذي صدّره مديرك لنقطة النهاية هذه؛ لا تستبدل عنوان URL للاستدعاء الراجع أو معرّف عميل من دليل قديم، حتى لو قبله العميل.
ابدأ الاتصال، وأكمل تسجيل الدخول وأي طلب MFA في المتصفح الذي يُفتح، ودع مسار العودة من المتصفح إلى العميل يكتمل. ثم اطلب العنوان الخاص الذي تحتاجه فعلًا، من جديد. صفحة تعلن نجاح تسجيل الدخول ليست دليلًا على أن النفق قد قام.
يحتفظ عميل Linux بمنافذ TCP المحلية من 8096 إلى 8115 لاستجابات SAML. عندما يتعلّق التسليم بعد أن يكون مزوّد الهوية قد قبلك، افحص ما يستمع أصلًا في ذلك النطاق:
ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"
منفذ مشغول، أو برنامج أمن لنقطة النهاية يحجب مستمع الاسترجاع المحلي، ينتج تسجيل دخول يبدو مكتملًا ثم لا يتصل أبدًا. أبقِ ذلك النطاق محليًا. إنه مسار عودة من جهة العميل، وليس شيئًا يُفتح في مجموعة أمان EC2 أو قاعدة جدار حماية للبوابة، وفتحه للإنترنت يضيف تعرّضًا دون أن يصلح شيئًا.
اقرأ المرحلة الفاشلة قبل أن تغيّر أي شيء
إلقاء اللوم على العميل هو رد الفعل المعتاد، لكن كل نقطة فشل تنتمي إلى جهة مختلفة. حدّد أولًا أين أنت فعلًا.
- لا تفتح أي نافذة متصفح. افحص وضع المصادقة في ملف التعريف، والاتصال الذي اخترته، وتكامل المتصفح الافتراضي على سطح المكتب.
- مزوّد الهوية يرفض الحساب. إسناد الحساب أو تسجيل MFA أو تكوين تطبيق SAML، كلها من اختصاص المدير.
- المتصفح ينتهي لكن العميل لا يتصل أبدًا. استجابة مصادقة منتهية أو غير صالحة، أو منفذ عودة محجوب، أو تسليم فاشل.
- النفق قائم لكن التطبيق غير قابل للوصول. مسارات نقطة النهاية وقواعد التخويل ومجموعات الأمان وDNS. تكرار تسجيل الدخول في المتصفح لا يضيف إذن شبكة مفقودًا.
احتفظ بنص خطأ العميل ووقت المحاولة عندما تصعّد. فالقول إن SAML معطّل والقول إن العميل لم يتلقَّ استجابة مصادقة صالحة يوجّهان الناس إلى مكانين مختلفين تمامًا.
حين يكون الشرط هو Android رغم ذلك
Android ليست منصة تنشر AWS عميلها لها، لذا فالجواب الصادق أنه لا يوجد عميل محمول مدعوم لتثبيته. هذا قيد تصميمي، لا لغز يُحل على الهاتف بتحرير ملف التعريف حتى يتصل شيء ما.
ما يمكن أن يتغيّر هو تصميم الوصول خلف ذلك، وهذا القرار يخص المدير: مسار وصول تطبيقي معتمد إلى الخدمة الداخلية الوحيدة التي يحتاجها الهاتف، أو منتج VPN يدعم الهواتف وتشغّله المؤسسة أصلًا، أو سطح مكتب مدعوم لنقطة النهاية التي تعتمد SAML فقط. كل خيار يجلب معه تكوين نقطة نهايته وتسجيل هويته وقواعد تخويله، ولا يستطيع المستخدم إنشاء أي منها من ملف تعريف مُنزَّل.
الأدوات الخارجية التي تدّعي سدّ الفجوة تحتاج مراجعة صريحة للدعم والأمان تغطي MFA ومعالجة الاستجابة وسياسة الجهاز ووتيرة التحديث. وجودها لا يجعلها عميل Android تقدمه AWS، ولا ينبغي أن تنقل مواد مصادقة قابلة لإعادة الاستخدام إلى هاتف لجعل إحداها تعمل.
سلّم المدير ثلاث حقائق بدلًا من سلسلة طويلة عن التوجيهات: وضع مصادقة نقطة النهاية، والمورد الخاص الذي يجب أن يصل إليه الهاتف، والموعد النهائي. هذا يكفي للاختيار بين سطح مكتب ومسار وصول تطبيقي ومنتج VPN جديد.
افحص الشروط بالترتيب قبل فتح تذكرة أخرى: المنصة على قائمة العملاء المرفقين، وأداة قادرة على إكمال تبادل المتصفح، ونقطة نهاية مهيأة فعلًا للاتحاد، وعلى Linux نطاق منافذ الاسترجاع المحلي. أول بند يفشل هو الذي يجب إصلاحه. وكل ما بعده تخمين.