Welke client kan een SAML-aanmelding bij AWS Client VPN voltooien

Twee mensen stellen dezelfde vraag over AWS Client VPN en SAML, en krijgen tegengestelde antwoorden. De een meldt zich elke ochtend aan vanaf een Ubuntu-laptop; de ander heeft een telefoon, een gedownload profiel en een client die één regel daarin weigert. Het verschil is geen geluk en geen verborgen schakelaar in het dashboard. Het komt neer op drie voorwaarden: of het platform er een is die AWS voor zijn eigen client ondersteunt, of het gereedschap in uw hand de federatieve browseruitwisseling kan uitvoeren, en of het eindpunt überhaupt voor SAML is geconfigureerd. Mist u één van de drie, dan stopt de aanmelding op een ander punt.

Drie voorwaarden bepalen of de aanmelding kan slagen

Het platform komt eerst. AWS levert zijn eigen Client VPN-client voor Windows, macOS en Ubuntu op AMD64, en eind oktober 2026 noemt de Linux-vereistenpagina Ubuntu 22.04, 24.04 en 26.04. Een herverpakte build, een geconverteerd pakket of een andere distributie werkt misschien, maar het is geen ondersteund platform, en als het stukgaat, bent u de supportlijn.

De client komt tweede. Federatieve aanmelding is geen profieloptie die elke OpenVPN-compatibele app uit elkaar haalt. De meegeleverde client opent uw identiteitsprovider in een browser, ontvangt het ondertekende authenticatieantwoord en stuurt dat antwoord naar het eindpunt. Een app die alleen het profiel leest en een tunnel opzet, voert deze stap niet uit, hoe schoon het verbindingslog er ook uitziet.

Het eindpunt komt derde. Een eindpunt met Active Directory-referenties of wederzijdse certificaten heeft een heel andere opzet, en het wisselen van clients verandert daar niets aan. Bevestig de authenticatiemodus bij degene die het profiel heeft uitgegeven voordat u iets anders debugt.

Samengenomen geven de drie voorwaarden een korte beslistabel:

Waarom een OpenVPN-import bij auth-federate stopt

Een geëxporteerd AWS Client VPN-profiel bevat een richtlijn die de client vertelt dat authenticatie buiten de tunnel plaatsvindt, via federatie. Een generieke OpenVPN-client weigert de regel meteen of negeert hem en heeft dan geen referentie om aan te bieden. Hier eindigen de meeste Android-pogingen: het profiel wordt geïmporteerd, de app protesteert, of de verbinding sterft met een configuratiefout voordat er één pakket het apparaat verlaat.

auth-federate verwijderen is de verleidelijke volgende stap, en het maakt een duidelijke fout tot een verwarrende. Een richtlijn weghalen maakt van een SAML-eindpunt nog geen aanmelding met gebruikersnaam en wachtwoord. Het eindpunt verwacht nog steeds een ondertekend SAML-antwoord en weigert wat de client in plaats daarvan stuurt. Uw accountwachtwoord, het gedownloade profiel en een gekopieerde assertie zijn geen uitwisselbare referenties.

Aanmelden bij de identiteitsprovider in Chrome op de telefoon bewijst alleen dat de identiteitsprovider de gebruiker heeft geaccepteerd. Het zegt niets over of het antwoord een client bereikt die het terug kan sturen naar het eindpunt. De eisen voor federatieve authenticatie maken de meegeleverde client juist daarom deel van de flow: de browserstap is nodig en niet voldoende.

Hoe het ondersteunde Linux-desktopspoor eruitziet

Installeer het pakket dat AWS voor Ubuntu AMD64 publiceert met uw systeempakketbeheerder en open de verbinding daarna vanuit die client in plaats van het profiel in een algemene VPN-app te importeren. Gebruik het profiel dat uw beheerder voor dit eindpunt heeft geëxporteerd; vervang geen callback-URL of client-id uit een oudere handleiding, ook niet als de client die accepteert.

Start de verbinding, rond de aanmelding en elke MFA-vraag af in de browser die opengaat, en laat de terugweg van browser naar client afmaken. Vraag daarna het privéadres dat u echt nodig hebt, opnieuw aan. Een pagina die een geslaagde aanmelding aankondigt, is geen bewijs dat de tunnel omhoog is.

De Linux-client reserveert lokale TCP-poorten 8096 tot en met 8115 voor SAML-antwoorden. Als de overdracht blijft hangen nadat de identiteitsprovider u heeft geaccepteerd, kijk dan wat er al in dat bereik luistert:

ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"

Een bezette poort, of endpointbeveiligingssoftware die de loopback-listener blokkeert, levert een aanmelding op die voltooid lijkt en dan nooit verbindt. Houd dat bereik lokaal. Het is een terugweg aan de clientkant, niet iets om te openen in een EC2-beveiligingsgroep of een gateway-firewallregel, en het naar het internet openen voegt blootstelling toe zonder iets op te lossen.

Lees de fase die mislukt voordat u iets verandert

De client de schuld geven is de gebruikelijke reflex, maar elk faalpunt hoort bij een andere eigenaar. Zoek eerst uit waar u werkelijk bent.

• Er opent geen browservenster. Controleer de authenticatiemodus van het profiel, de verbinding die u koos en de integratie met de standaardbrowser van de desktop.
• De identiteitsprovider weigert het account. Accounttoewijzing, MFA-registratie of de configuratie van de SAML-applicatie, allemaal beheerdersgebied.
• De browser is klaar maar de client verbindt nooit. Een verlopen of onbruikbaar authenticatieantwoord, een geblokkeerde terugpoort of een mislukte overdracht.
• De tunnel staat maar de applicatie is onbereikbaar. Eindpuntroutes, autorisatieregels, beveiligingsgroepen, DNS. De browseraanmelding herhalen kan geen ontbrekende netwerkmachtiging toevoegen.

Bewaar de fouttekst van de client en het tijdstip van de poging wanneer u escaleert. De bewering dat SAML kapot is en de bewering dat de client nooit een geldig authenticatieantwoord heeft ontvangen, sturen mensen naar heel verschillende plekken.

Wanneer de eis toch Android is

Android is geen platform waarvoor AWS zijn client publiceert, dus het eerlijke antwoord is dat er geen ondersteunde mobiele client te installeren is. Dat is een ontwerpbeperking, geen puzzel die u op de telefoon oplost door het profiel te bewerken tot er iets verbindt.

Wat kan veranderen is het toegangsontwerp erachter, en die beslissing is aan de beheerder: een goedgekeurd applicatietoegangspad naar de ene interne dienst die de telefoon nodig heeft, een mobielgeschikt VPN-product dat de organisatie al draait, of een ondersteunde desktop voor het eindpunt dat alleen SAML gebruikt. Elke optie brengt zijn eigen eindpuntconfiguratie, identiteitsregistratie en autorisatieregels mee, en niets daarvan kan een gebruiker uit een gedownload profiel maken.

Tools van derden die beweren het gat te dichten, vragen om een uitdrukkelijke support- en beveiligingsreview die MFA, antwoordafhandeling, apparaatbeleid en updatetempo dekt. Hun bestaan maakt ze geen door AWS geleverde Android-client, en u moet geen herbruikbaar authenticatiemateriaal naar een telefoon verplaatsen om er een te laten werken.

Geef de beheerder drie feiten in plaats van een lange thread over richtlijnen: de authenticatiemodus van het eindpunt, de privébron die de telefoon moet bereiken en de deadline. Dat is genoeg om te kiezen tussen een desktop, een applicatietoegangspad en een nieuw VPN-product.

Controleer de voorwaarden in volgorde voordat u nog een ticket opent: platform op de lijst met meegeleverde clients, een tool die de browseruitwisseling kan afronden, een eindpunt dat echt voor federatie is geconfigureerd en, op Linux, het loopback-poortbereik. Het eerste item dat faalt, is degene die u moet repareren. Alles daarna is giswerk.