Mikä asiakasohjelma voi suorittaa AWS Client VPN:n SAML-kirjautumisen loppuun

Kaksi ihmistä kysyy saman kysymyksen AWS Client VPN:stä ja SAML:stä ja saa vastakkaiset vastaukset. Toinen kirjautuu joka aamu Ubuntu-kannettavalta; toisella on puhelin, ladattu profiili ja asiakasohjelma, joka hylkää yhden rivin siinä. Ero ei ole onnea eikä piilotettu kytkin paneelissa. Kaikki palautuu kolmeen ehtoon: onko alusta yksi niistä, joita AWS tukee omalle asiakasohjelmalleen, pystyykö kädessäsi oleva työkalu tekemään liitetyn selainvaihdon ja onko päätepiste ylipäätään määritetty SAML:ää varten. Jos yksikin kolmesta puuttuu, kirjautuminen pysähtyy eri kohtaan.

Kolme ehtoa ratkaisee, voiko kirjautuminen valmistua

Alusta tulee ensin. AWS toimittaa oman Client VPN -asiakasohjelmansa Windowsille, macOS:lle ja Ubuntuille AMD64:llä, ja Linuxin vaatimusivulla mainitaan lokakuun 2026 lopulla Ubuntu 22.04, 24.04 ja 26.04. Uudelleenpakattu koontiversio, muunnettu paketti tai muu jakelu voi toimia, mutta se ei ole tuettu alusta, ja kun se hajoaa, tukilinja olet sinä.

Asiakasohjelma tulee toisena. Liitetty kirjautuminen ei ole profiiliasetus, jonka jokainen OpenVPN-yhteensopiva sovellus jäsentäisi. Toimitettu asiakasohjelma avaa identiteetintarjoajasi selaimeen, vastaanottaa allekirjoitetun todennusvastauksen ja lähettää sen päätepisteelle. Sovellus, joka vain lukee profiilin ja nostaa tunnelin, ei tee tätä vaihetta, niin siistiltä sen yhteysloki näyttääkin.

Päätepiste tulee kolmantena. Active Directoryn tunnistetietoja tai molemminpuolisia varmenteita käyttävä päätepiste on rakenteeltaan täysin toinen, eikä asiakasohjelmien vaihto muuta sitä. Vahvista todennustila profiilin myöntäneen tahon kanssa ennen kuin alat selvittää mitään muuta.

Yhdessä kolme ehtoa antavat lyhyen päätöstaulukon:

Miksi OpenVPN-tuonti pysähtyy kohtaan auth-federate

Viety AWS Client VPN -profiili sisältää direktiivin, joka kertoo asiakasohjelmalle, että todennus tapahtuu tunnelin ulkopuolella, federaation kautta. Tavallinen OpenVPN-asiakasohjelma joko hylkää rivin suoraan tai jättää sen huomiotta, eikä sillä silloin ole mitään tunnistetietoja tarjottavaksi. Tähän useimmat Android-yritykset päättyvät: profiili tuodaan, sovellus vastustaa tai yhteys kuolee määritysvirheeseen ennen kuin yksikään paketti lähtee laitteesta.

auth-federate poistaminen on houkutteleva seuraava siirto, ja se muuttaa selvän epäonnistumisen sekavaksi. Direktiivin poistaminen ei muuta SAML-päätepistettä käyttäjätunnus- ja salasanatodennukseksi. Päätepiste odottaa edelleen allekirjoitettua SAML-vastausta ja hylkää sen, mitä asiakasohjelma lähettää sen sijaan. Tilisi salasana, ladattu profiili ja kopioitu väite eivät ole keskenään vaihdettavia tunnistetietoja.

Kirjautuminen identiteetintarjoajaan Chromessa puhelimella todistaa vain, että identiteetintarjoaja hyväksyi käyttäjän. Se ei kerro mitään siitä, saavuttaako vastaus asiakasohjelman, joka voi lähettää sen takaisin päätepisteelle. liitetyn todentamisen vaatimukset tekevät toimitetusta asiakasohjelmasta osan virtaa juuri siksi: selainvaihe on välttämätön muttei riittävä.

Miltä tuettu Linux-työpöytäpolku näyttää

Asenna paketti, jonka AWS julkaisee Ubuntu AMD64:lle, järjestelmäsi paketinhallinnalla ja avaa sitten yhteys kyseisestä asiakasohjelmasta sen sijaan, että toisit profiilin yleiskäyttöiseen VPN-sovellukseen. Käytä profiilia, jonka järjestelmänvalvojasi vei tätä päätepistettä varten; älä korvaa paluu-URL:ää tai asiakastunnistetta vanhemmasta ohjeesta, vaikka asiakasohjelma hyväksyisi sen.

Käynnistä yhteys, suorita kirjautuminen ja mahdollinen MFA-kysely avautuvassa selaimessa ja anna selaimesta asiakasohjelmaan palaavan virran valmistua. Pyydä sen jälkeen tarvitsemasi yksityinen osoite uudelleen. Sivu, joka ilmoittaa onnistuneesta kirjautumisesta, ei ole todiste siitä, että tunneli nousi.

Linux-asiakasohjelma varaa paikalliset TCP-portit 8096–8115 SAML-vastauksille. Kun siirto jää roikkumaan sen jälkeen, kun identiteetintarjoaja on hyväksynyt sinut, katso, mikä jo kuuntelee kyseisellä alueella:

ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"

Varattu portti tai päätepisteen tietoturvaohjelmisto, joka estää loopback-kuuntelijan, tuottaa kirjautumisen, joka näyttää valmistuvan ja joka ei sitten koskaan yhdistä. Pidä kyseinen alue paikallisena. Se on asiakaspuolen paluureitti, ei mitään, mitä avataan EC2-turvaryhmässä tai yhdyskäytävän palomuurisäännössä, ja sen avaaminen internetiin lisää altistusta korjaamatta mitään.

Lue epäonnistuva vaihe ennen kuin muutat mitään

Asiakasohjelman syyttäminen on tavallinen refleksi, mutta jokainen epäonnistumiskohta kuuluu eri omistajalle. Selvitä ensin, missä todella olet.

• Selainikkuna ei avaudu. Tarkista profiilin todennustila, valitsemasi yhteys ja työpöydän oletusselaimen integraatio.
• Identiteetintarjoaja hylkää tilin. Tilin kohdistus, MFA-rekisteröinti tai SAML-sovelluksen määritys, kaikki järjestelmänvalvojan aluetta.
• Selain valmistuu, mutta asiakasohjelma ei koskaan yhdistä. Vanhentunut tai käyttökelvoton todennusvastaus, estetty paluuportti tai epäonnistunut siirto.
• Tunneli on pystyssä, mutta sovellus ei ole tavoitettavissa. Päätepisteen reitit, valtuutussäännöt, turvaryhmät, DNS. Selainkirjautumisen toistaminen ei voi lisätä puuttuvaa verkkokäyttöoikeutta.

Säilytä asiakasohjelman virheteksti ja yrityksen ajankohta, kun eskalat. Väite, että SAML on rikki, ja väite, ettei asiakasohjelma koskaan saanut kelvollista todennusvastausta, lähettävät ihmiset täysin eri paikkoihin.

Kun vaatimus on silti Android

Android ei ole alusta, jolle AWS julkaisee asiakasohjelmaansa, joten rehellinen vastaus on, ettei asennettavaksi ole tuettua mobiiliasiakasohjelmaa. Se on suunnittelurajoitus, ei pulma, joka ratkaistaan puhelimessa muokkaamalla profiilia kunnes jokin yhdistyy.

Se, mikä voi muuttua, on taustalla oleva käyttöoikeusmalli, ja päätös kuuluu järjestelmänvalvojalle: hyväksytty sovelluskäyttöpolku siihen yhteen sisäiseen palveluun, jonka puhelin tarvitsee, mobiilikykyinen VPN-tuote, jota organisaatio jo käyttää, tai tuettu työpöytä päätepisteelle, joka käyttää vain SAML:ää. Jokainen vaihtoehto tuo mukanaan oman päätepistemäärityksensä, identiteettirekisteröintinsä ja valtuutussääntönsä, eikä käyttäjä voi luoda mitään niistä ladatusta profiilista.

Kolmannen osapuolen työkalut, jotka väittävät sulkevansa aukon, tarvitsevat nimenomaisen tuki- ja tietoturvakatsauksen, joka kattaa MFA:n, vastausten käsittelyn, laitekäytännön ja päivitystahdin. Niiden olemassaolo ei tee niistä AWS:n tarjoamaa Android-asiakasohjelmaa, eikä uudelleenkäytettävää todennusmateriaalia pidä siirtää puhelimeen, jotta jokin niistä toimisi.

Anna järjestelmänvalvojalle kolme tosiasiaa pitkän direktiiviketjun sijaan: päätepisteen todennustila, yksityinen resurssi, johon puhelimen on päästävä, ja määräaika. Se riittää valitsemaan työpöydän, sovelluskäyttöpolun ja uuden VPN-tuotteen välillä.

Tarkista ehdot järjestyksessä ennen kuin avaat uuden tiketin: alusta toimitettujen asiakasohjelmien luettelossa, työkalu joka pystyy suorittamaan selainvaihdon, päätepiste joka on todella määritetty federaatiolle ja Linuxissa loopback-porttialue. Ensimmäinen kohta, joka epäonnistuu, on se, joka pitää korjata. Kaikki sen jälkeen on arvailua.