Hvilken klient kan gennemføre en SAML-login i AWS Client VPN

To personer stiller det samme spørgsmål om AWS Client VPN og SAML og får modsatte svar. Den ene logger ind fra en Ubuntu-bærbar hver morgen; den anden har en telefon, en downloadet profil og en klient, der afviser en linje i den. Forskellen er ikke held og ikke en skjult kontakt i panelet. Det handler om tre betingelser: om platformen er en, AWS understøtter til sin egen klient, om værktøjet i din hånd kan udføre den fødererede browserudveksling, og om endepunktet overhovedet er konfigureret til SAML. Mangler blot én af de tre, stopper login på et andet sted.

Tre betingelser afgør, om login kan fuldføres

Platformen kommer først. AWS leverer sin egen Client VPN-klient til Windows, macOS og Ubuntu på AMD64, og i slutningen af oktober 2026 nævner Linux-kravsiden Ubuntu 22.04, 24.04 og 26.04. Et genpakket build, en konverteret pakke eller en anden distribution kan måske køre, men det er ikke en understøttet platform, og når den går i stykker, er du supportlinjen.

Klienten kommer som nummer to. Fødereret login er ikke en profilindstilling, som enhver OpenVPN-kompatibel app tolker. Den medfølgende klient åbner din identitetsudbyder i en browser, modtager det signerede autentificeringssvar og sender svaret videre til endepunktet. En app, der bare læser profilen og rejser en tunnel, udfører ikke dette trin, hvor rent dens forbindelseslog end ser ud.

Endepunktet kommer som nummer tre. Et endepunkt med Active Directory-legitimationsoplysninger eller gensidige certifikater har en helt anden ordning, og udskiftning af klienter ændrer det ikke. Bekræft autentificeringstilstanden med den, der udstedte profilen, før du fejlfinder noget andet.

Samlet giver de tre betingelser en kort beslutningstabel:

Hvorfor en OpenVPN-import stopper ved auth-federate

En eksporteret AWS Client VPN-profil bærer en direktiv, der fortæller klienten, at autentificering sker uden for tunnelen, via føderation. En generisk OpenVPN-klient afviser enten linjen helt eller ignorerer den og har så ingen legitimationsoplysninger at byde på. Det er her, de fleste Android-forsøg ender: profilen importeres, appen protesterer, eller forbindelsen dør med en konfigurationsfejl, før en enkelt pakke forlader enheden.

At slette auth-federate er det fristende næste skridt, og det gør en klar fejl til en forvirrende en. At fjerne et direktiv gør ikke et SAML-endepunkt til brugernavn-og-adgangskode-autentificering. Endepunktet forventer stadig et signeret SAML-svar og afviser det, klienten sender i stedet. Din kontoadgangskode, den downloadede profil og en kopieret erklæring er ikke udskiftelige legitimationsoplysninger.

At logge ind hos identitetsudbyderen i Chrome på telefonen beviser kun, at identitetsudbyderen accepterede brugeren. Det siger intet om, hvorvidt svaret når en klient, der kan sende det tilbage til endepunktet. De fødererede autentificeringskrav gør den medfølgende klient til en del af flowet netop derfor: browsertrinnet er nødvendigt og ikke tilstrækkeligt.

Sådan ser den understøttede Linux-skrivebordsvej ud

Installer den pakke, AWS udgiver til Ubuntu AMD64, med din systempakkehåndtering, og åbn derefter forbindelsen fra den klient i stedet for at importere profilen i en generel VPN-app. Brug den profil, din administrator eksporterede til dette endepunkt; udskift ikke en callback-URL eller en klientidentifikator fra en ældre gennemgang, selv om klienten accepterer det.

Start forbindelsen, fuldfør login og enhver MFA-anmodning i den browser, der åbnes, og lad returflowet fra browser til klient gøre færdigt. Bed derefter om den private adresse, du faktisk har brug for, på ny. En side, der annoncerer et vellykket login, er ikke bevis for, at tunnelen kom op.

Linux-klienten reserverer lokale TCP-porte 8096 til 8115 til SAML-svar. Når overdragelsen hænger, efter at identitetsudbyderen har accepteret dig, så se, hvad der allerede lytter i det interval:

ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"

En optaget port, eller sikkerhedssoftware på endepunktet, der blokerer loopback-lytteren, giver et login, der ser ud til at fuldføres og derefter aldrig forbinder. Hold det interval lokalt. Det er en returvej på klientsiden, ikke noget, man åbner i en EC2-sikkerhedsgruppe eller en gateway-firewallregel, og at åbne det mod internettet tilføjer eksponering uden at løse noget.

Læs det trin, der fejler, før du ændrer noget

At give klienten skylden er den sædvanlige refleks, men hvert fejlpunkt tilhører en anden ejer. Find først ud af, hvor du faktisk er.

• Der åbnes ikke noget browservindue. Kontroller profilens autentificeringstilstand, den forbindelse du valgte, og integrationen med skrivebordets standardbrowser.
• Identitetsudbyderen afviser kontoen. Kontotildeling, MFA-tilmelding eller SAML-applikationens konfiguration, alt sammen administratorterritorium.
• Browseren bliver færdig, men klienten forbinder aldrig. Et udløbet eller ubrugeligt autentificeringssvar, en blokeret returport eller en mislykket overdragelse.
• Tunnelen er oppe, men applikationen kan ikke nås. Endepunktsruter, autorisationsregler, sikkerhedsgrupper, DNS. At gentage browser-login kan ikke tilføje en manglende netværkstilladelse.

Gem klientens fejltekst og tidspunktet for forsøget, når du eskalerer. Udsagnet om, at SAML er i stykker, og udsagnet om, at klienten aldrig modtog et gyldigt autentificeringssvar, sender folk helt forskellige steder hen.

Når kravet alligevel er Android

Android er ikke en platform, AWS udgiver sin klient til, så det ærlige svar er, at der ikke findes en understøttet mobilklient at installere. Det er en designbegrænsning, ikke et puslespil, der skal løses på telefonen ved at redigere profilen, indtil noget forbinder.

Det, der kan ændre sig, er adgangsdesignet bag det, og den beslutning tilhører administratoren: en godkendt applikationsadgangsvej til den ene interne tjeneste, telefonen har brug for, et VPN-produkt med mobilstøtte, som organisationen allerede driver, eller et understøttet skrivebord til endepunktet, der kun bruger SAML. Hver mulighed bringer sin egen endepunktskonfiguration, identitetstilmelding og autorisationsregler, og ingen af dem kan en bruger skabe ud fra en downloadet profil.

Tredjepartsværktøjer, der hævder at lukke hullet, kræver en eksplicit support- og sikkerhedsgennemgang, der dækker MFA, håndtering af svar, enhedspolitik og opdateringskadence. Deres eksistens gør dem ikke til en AWS-Android-klient, og du bør ikke flytte genanvendeligt autentificeringsmateriale over på en telefon for at få en af dem til at virke.

Giv administratoren tre fakta i stedet for en lang tråd om direktiver: endepunktets autentificeringstilstand, den private ressource, telefonen skal nå, og deadline. Det er nok til at vælge mellem et skrivebord, en applikationsadgangsvej og et nyt VPN-produkt.

Kontroller betingelserne i rækkefølge, før du åbner endnu en sag: platform på listen over medfølgende klienter, et værktøj, der kan fuldføre browserudvekslingen, et endepunkt, der faktisk er konfigureret til føderation, og på Linux loopback-portintervallet. Det første punkt, der fejler, er det, der skal rettes. Alt derefter er gætværk.