Que cliente pode completar un inicio de sesión SAML en AWS Client VPN

Dúas persoas fan a mesma pregunta sobre AWS Client VPN e SAML, e obteñen respostas opostas. Unha inicia sesión desde un portátil Ubuntu cada mañá; a outra ten un teléfono, un perfil descargado e un cliente que rexeita unha liña dese perfil. A diferenza non é sorte nin un interruptor oculto no panel. Todo redúcese a tres condicións: se a plataforma é unha das que AWS admite para o seu propio cliente, se a ferramenta que ten na man pode realizar o intercambio federado no navegador e se o extremo está configurado para SAML. Falle unha das tres e o inicio de sesión detense nun punto distinto.

Tres condicións deciden se o inicio de sesión pode rematar

A plataforma vai primeiro. AWS distribúe o seu propio cliente Client VPN para Windows, macOS e Ubuntu en AMD64, e a finais de outubro de 2026 a páxina de requisitos de Linux nomea Ubuntu 22.04, 24.04 e 26.04. Unha compilación reempaquetada, un paquete convertido ou outra distribución poden funcionar, pero non é unha plataforma admitida, e cando se rompe, a liña de soporte é vostede.

O cliente vai segundo. O inicio de sesión federado non é unha opción do perfil que analice calquera aplicación compatible con OpenVPN. O cliente proporcionado abre o seu provedor de identidade nun navegador, recibe a resposta de autenticación asinada e envía esa resposta ao extremo. Unha aplicación que só le o perfil e levanta un túnel non realiza este paso, por limpo que se vexa o seu rexistro de conexión.

O extremo vai terceiro. Un extremo con credenciais de Active Directory ou certificados mutuos ten unha disposición completamente distinta, e cambiar de cliente non a modificará. Confirme o modo de autenticación con quen emitiu o perfil antes de depurar calquera outra cousa.

En conxunto, as tres condicións dan unha breve táboa de decisión:

Por que unha importación OpenVPN se detén en auth-federate

Un perfil exportado de AWS Client VPN leva unha directiva que lle di ao cliente que a autenticación ocorre fóra do túnel, mediante federación. Un cliente OpenVPN xenérico ou rexeita a liña de plano ou a ignora e entón non ten ningunha credencial que ofrecer. Aquí rematan a maioría dos intentos en Android: o perfil impórtase, a aplicación protesta ou a conexión morre cun erro de configuración antes de que saia un só paquete do dispositivo.

Borrar auth-federate é o seguinte movemento tentador, e converte un fallo claro nun confuso. Quitar unha directiva non converte un extremo SAML en autenticación con usuario e contrasinal. O extremo segue esperando unha resposta SAML asinada e rexeita o que o cliente envía no seu lugar. O contrasinal da súa conta, o perfil descargado e unha aserción copiada non son credenciais intercambiables.

Iniciar sesión no provedor de identidade en Chrome no teléfono só demostra que o provedor de identidade aceptou o usuario. Non di nada sobre se a resposta chega a un cliente que poida devolvela ao extremo. Os requisitos de autenticación federada fan que o cliente proporcionado forme parte do fluxo xustamente por iso: o paso do navegador é necesario e non suficiente.

Como é a ruta admitida para o escritorio Linux

Instale o paquete que AWS publica para Ubuntu AMD64 co xestor de paquetes do sistema e despois abra a conexión desde ese cliente en lugar de importar o perfil nunha aplicación VPN xenérica. Use o perfil que o seu administrador exportou para este extremo; non substitúa ningunha URL de retorno nin ningún identificador de cliente dunha guía antiga, aínda que o cliente o acepte.

Inicie a conexión, complete o inicio de sesión e calquera solicitude de MFA no navegador que se abra, e deixe que o fluxo de retorno do navegador ao cliente remate. Despois solicite o enderezo privado que realmente necesita, de novo. Unha páxina que anuncia un inicio de sesión correcto non é proba de que o túnel subise.

O cliente de Linux reserva os portos TCP locais do 8096 ao 8115 para as respostas SAML. Cando a transferencia se colga despois de que o provedor de identidade o aceptase, mire que está escoitando xa nese rango:

ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"

Un porto ocupado, ou un software de seguridade do extremo que bloquea o oínte de bucle local, produce un inicio de sesión que parece completarse e logo nunca conecta. Manteña ese rango local. É unha ruta de retorno do lado do cliente, non algo que se abra nun grupo de seguridade de EC2 ou nunha regra de cortalumes de pasarela, e abrilo a internet engade exposición sen arranxar nada.

Lea a etapa que falla antes de cambiar nada

Culpar o cliente é o reflexo habitual, pero cada punto de fallo pertence a un propietario distinto. Averigüe primeiro onde está vostede realmente.

• Non se abre ningunha xanela do navegador. Revise o modo de autenticación do perfil, a conexión que escolleu e a integración co navegador predeterminado do escritorio.
• O provedor de identidade rexeita a conta. Asignación de conta, inscrición en MFA ou configuración da aplicación SAML, todo territorio do administrador.
• O navegador remata pero o cliente nunca conecta. Unha resposta de autenticación caducada ou inservible, un porto de retorno bloqueado ou unha transferencia fallida.
• O túnel está levantado pero a aplicación é inalcanzable. Rutas do extremo, regras de autorización, grupos de seguridade, DNS. Repetir o inicio de sesión no navegador non pode engadir un permiso de rede que falta.

Garde o texto do erro do cliente e a hora do intento cando escale. A afirmación de que SAML está roto e a afirmación de que o cliente nunca recibiu unha resposta de autenticación válida levan a xente a lugares completamente distintos.

Cando o requisito é Android de todos os xeitos

Android non é unha plataforma para a que AWS publique o seu cliente, así que a resposta honesta é que non hai ningún cliente móbil admitido que instalar. É unha limitación de deseño, non un crebacabezas que resolver no teléfono editando o perfil ata que algo conecte.

O que pode cambiar é o deseño de acceso que hai detrás, e esa decisión pertence ao administrador: unha ruta de acceso a aplicacións aprobada cara ao único servizo interno que o teléfono necesita, un produto VPN con soporte móbil que a organización xa opere, ou un escritorio admitido para o extremo que só usa SAML. Cada opción trae a súa propia configuración de extremo, inscrición de identidade e regras de autorización, e o usuario non pode crear nada diso a partir dun perfil descargado.

As ferramentas de terceiros que afirman pechar esa fenda necesitan unha revisión explícita de soporte e seguridade que cubra MFA, xestión de respostas, política de dispositivos e ritmo de actualizacións. A súa existencia non as converte nun cliente Android proporcionado por AWS, e non debería mover material de autenticación reutilizable a un teléfono para facer funcionar unha delas.

Dea ao administrador tres feitos en lugar dun fío longo sobre directivas: o modo de autenticación do extremo, o recurso privado que o teléfono debe alcanzar e a data límite. Con iso abonda para escoller entre un escritorio, unha ruta de acceso a aplicacións e un produto VPN novo.

Comprobe as condicións en orde antes de abrir outro tícket: plataforma na lista de clientes proporcionados, unha ferramenta que poida completar o intercambio no navegador, un extremo realmente configurado para federación e, en Linux, o rango de portos de bucle local. O primeiro elemento que falla é o que hai que arranxar. Todo o demais é conxectura.