کوم کلاینټ کولای شي د AWS Client VPN په SAML ننوتل بشپړ کړي
د AWS کلاینټ سره Linux ډیسکټاپونه کولای شي په براوزر کې د SAML لیږد بشپړ کړي؛ په Android کې عادي OpenVPN واردات نشي کولای. درې شرطونه ستاسو قضیه فیصله کوي.
دوه کسان د AWS Client VPN او SAML په اړه یوه پوښتنه کوي او مخالف ځوابونه ترلاسه کوي۔ یو یې هره سهار د Ubuntu لیپ ټاپ څخه ننوځي؛ بل ته ټیلیفون، ډاونلوډ شوی پروفایل او یو کلاینټ دی چې په هغه کې یوه کرښه ردوي۔ توپیر نه بخت دی او نه په ډشبورډ کې پټ سویچ۔ ټول شیان په درې شرطونو ولاړ دي: آیا پلیټفارم هغه دی چې AWS د خپل کلاینټ لپاره ملاتړ کوي، آیا ستاسو په لاس کې وسیله کولای شي فدرالي براوزر تبادله ترسره کړي، او آیا پای ټکی په بشپړ ډول د SAML لپاره تنظیم شوی دی۔ که له دریو څخه یو هم ورک شي، ننوتل په بل ځای کې ودروي۔
درې شرطونه فیصله کوي چې ننوتل بشپړیدای شي که نه
پلیټفارم لومړی دی۔ AWS د Windows، macOS او AMD64 باندې Ubuntu لپاره خپل Client VPN کلاینټ وړاندې کوي، او د 2026 کال د اکتوبر په پای کې د Linux اړتیاوو پاڼه Ubuntu 22.04، 24.04 او 26.04 نوموي۔ بیا بسته شوی جوړښت، بدل شوی بسته یا بل ویش چې کیدای شي کار وکړي، خو دا ملاتړ شوی پلیټفارم نه دی، او کله چې مات شي، ملاتړ کرښه تاسو یاست۔
کلاینټ دویم دی۔ فدرالي ننوتل هغه پروفایل انتخاب نه دی چې هر د OpenVPN سره سم ایپ یې تحلیل کړي۔ وړاندې شوی کلاینټ ستاسو د هویت وړاندې کوونکی په براوزر کې پرانیزي، لاسلیک شوی تصدیق ځواب ترلاسه کوي او هغه ځواب پای ټکي ته لیږي۔ هغه ایپ چې یوازې پروفایل لولي او تونل پورته کوي دا ګام نه ترسره کوي، که څه هم د هغې د اړیکې لاګ څومره پاک ښکاره شي۔
پای ټکی دریم دی۔ د Active Directory اعتبارنامو یا متقابلو سندونو لرونکی پای ټکی په بشپړ ډول بل ترتیب لري، او د کلاینټونو بدلول به یې نه بدلوي۔ د بل هر څه د خرابیو د موندلو دمخه د پروفایل د صادروونکي سره د تصدیق حالت تایید کړئ۔
یوځای اخیستل شوي، درې شرطونه یوه لنډه پرېکړه جدول راکوي:
| Platform | AWS-provided client | Completes the SAML exchange | What that means |
|---|---|---|---|
| Ubuntu 22.04 / 24.04 / 26.04, AMD64 | Yes | Yes | Normal sign-in path; debug stages, not platforms |
| Windows or macOS | Yes | Yes | Same path, different installer |
| Android | No published client | No | Needs a different access design, not a different profile |
| Other Linux distributions | No | Depends on the tool | Runs at your own support risk |
ولې د OpenVPN واردات په auth-federate کې ودروي
صادر شوی د AWS Client VPN پروفایل یو لارښود لري چې کلاینټ ته وایي تصدیق د تونل بهر، د فدراسیون له لارې ترسره کیږي۔ عادي OpenVPN کلاینټ یا کرښه سمدلاسه ردوي یا یې له پامه غورځوي او بیا د وړاندې کولو لپاره هیڅ اعتبارنامه نه لري۔ دلته د Android ډیری هڅې پای ته رسیږي: پروفایل واردیږي، ایپ اعتراض کوي، یا اړیکه د ترتیب خطا سره مري مخکې لدې چې یو هم بسته وسیله پریږدي۔
د auth-federate حذف کول بل هڅوونکی ګام دی، او روښانه ناکامي په مغشوشه ناکامي بدلوي۔ د لارښود لرې کول SAML پای ټکی د کارن نوم او پټنوم تصدیق ته نه بدلوي۔ پای ټکی لا هم لاسلیک شوي SAML ځواب ته انتظار دی او هغه څه ردوي چې کلاینټ پرځای یې لیږي۔ ستاسو د حساب پټنوم، ډاونلوډ شوی پروفایل او کاپي شوې ادعا یو بل سره د بدلیدو وړ اعتبارنامې نه دي۔
په ټیلیفون کې په Chrome کې هویت وړاندې کوونکي ته ننوتل یوازې دا ثابتوي چې وړاندې کوونکي کارن منلی دی۔ د دې په اړه هیڅ نه وایي چې آیا ځواب هغه کلاینټ ته رسیږي چې کولای شي بیرته پای ټکي ته یې ولیږي۔ د فدرالي تصدیق اړتیاوې دقیقاً د همدې دلیل له مخې وړاندې شوی کلاینټ د بهیر برخه ګرځوي: د براوزر ګام اړین دی او کافي نه دی۔
ملاتړ شوی د Linux ډیسکټاپ لار څنګه ښکاري
هغه بسته چې AWS د Ubuntu AMD64 لپاره خپروي د خپل سیستم د بستې مدیر سره نصب کړئ، بیا اړیکه له همدې کلاینټ څخه پرانیزئ پرځای لدې چې پروفایل په عمومي VPN ایپ کې وارد کړئ۔ هغه پروفایل وکاروئ چې ستاسو مدیر دې پای ټکي لپاره صادر کړی دی؛ د زوړ لارښود بیرته راستنیدو URL یا د کلاینټ پیژندونکی مه بدلوئ، حتی که کلاینټ یې ومني۔
اړیکه پیل کړئ، په خلاصیدونکي براوزر کې ننوتل او هر MFA غوښتنه بشپړه کړئ، او د براوزر څخه کلاینټ ته د بیرته راستنیدو بهیر بشپړیدو ته پرېږدئ۔ بیا هغه شخصي پته چې واقعاً ورته اړتیا لرئ له سره وغواړئ۔ هغه پاڼه چې بریالي ننوتل اعلانوي د تونل د پورته کیدو ثبوت نه دی۔
د Linux کلاینټ د SAML ځوابونو لپاره ځایي TCP پورټونه 8096 څخه تر 8115 پورې ساتي۔ کله چې لیږد وروسته لدې چې هویت وړاندې کوونکي تاسو منلي یاست ودریږي، وګورئ چې په هغه حد کې څه مخکې لدې اوریدل کیږي:
ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"
اشغال شوی پورټ، یا د پای ټکي امنیتي سافټویر چې د loopback اوریدونکی بندوي، هغه ننوتل جوړوي چې بشپړ ښکاري او بیا هیڅکله نه نښلیږي۔ هغه حد ځایي وساتئ۔ دا د کلاینټ اړخ ته د بیرته راستنیدو لار ده، نه هغه څه چې په EC2 امنیتي ګروپ یا په ګیټوې فایر وال قاعده کې پرانیستل شي، او د انټرنیټ لپاره یې پرانیستل پرته لدې چې څه سم کړي زیان زیاتوي۔
د هر څه د بدلولو دمخه ناکام پړاو ولولئ
کلاینټ ته تور ورکول عادي غبرګون دی، خو هره ناکامي نقطه د بل مالک ده۔ لومړی معلومه کړئ چې تاسو واقعاً چیرته یاست۔
- هیڅ د براوزر کړکۍ نه خلاصیږي۔ د پروفایل د تصدیق حالت، هغه اړیکه چې تاسو غوره کړې او د ډیسکټاپ د ډیفالټ براوزر سره یوځای والی وګورئ۔
- هویت وړاندې کوونکی حساب ردوي۔ د حساب ځانګړنه، MFA ثبت یا د SAML ایپ ترتیب، ټول د مدیر ساحه۔
- براوزر بشپړیږي خو کلاینټ هیڅکله نه نښلیږي۔ پای ته رسیدلی یا بې ګټې تصدیق ځواب، بند شوی بیرته راستنیدو پورټ، یا ناکام لیږد۔
- تونل پورته دی خو ایپ نشته رسیدلای۔ د پای ټکي لارې، د اجازې قواعد، امنیتي ګروپونه، DNS۔ د براوزر ننوتل تکرارول نشي کولای ورکه شوې شبکه اجازه ورزیات کړي۔
کله چې اسکالیټ کوئ د کلاینټ د خطا متن او د هڅې وخت وساتئ۔ دا ادعا چې SAML مات دی او دا ادعا چې کلاینټ هیڅکله معتبر تصدیق ځواب نه دی ترلاسه کړی خلک بشپړ مختلف ځایونو ته لیږي۔
کله چې اړتیا بیا هم Android وي
Android هغه پلیټفارم نه دی چې AWS خپل کلاینټ د هغه لپاره خپروي، نو صادق ځواب دا دی چې د نصبولو لپاره هیڅ ملاتړ شوی موبایل کلاینټ نشته۔ دا د ډیزاین محدودیت دی، نه هغه معما چې په ټیلیفون کې د پروفایل سمون سره حل شي ترڅو څه ونښلیږي۔
هغه څه چې بدلیدای شي د هغې شاته د لاسرسي ډیزاین دی، او هغه پرېکړه د مدیر ده: د ټیلیفون لپاره اړین یوازیني داخلي خدمت ته منل شوې د ایپ لاسرسي لار، د موبایل وړ VPN محصول چې سازمان مخکې لدې چلوي، یا د یوازې SAML کاروونکي پای ټکي لپاره ملاتړ شوی ډیسکټاپ۔ هر انتخاب خپل د پای ټکي ترتیب، د هویت ثبت او د اجازې قواعد راوړي، او له دې څخه هیڅ هم کارن نشي کولای له ډاونلوډ شوي پروفایل څخه جوړ کړي۔
هغه دریمې خوا وسیلې چې ادعا کوي دا سوری بندوي د MFA، د ځوابونو اداره، د وسیلې پالیسي او د تازه کیدو د رفتار پوښلو لپاره څرګند ملاتړ او امنیتي بیاکتنې ته اړتیا لري۔ د دوی شتون دوی د AWS لخوا وړاندې شوي Android کلاینټ نه جوړوي، او د دوی له یوې د کار کولو لپاره د بیا کاریدونکي تصدیق مواد ټیلیفون ته مه لیږدوئ۔
مدیر ته د لارښودونو په اړه د اوږد تار پرځای درې حقایق ورکړئ: د پای ټکي د تصدیق حالت، هغه شخصي سرچینه چې ټیلیفون باید ورته ورسیږي، او مهال ویش۔ د ډیسکټاپ، د ایپ لاسرسي لارې او نوي VPN محصول ترمنځ د غوره کولو لپاره همدا کافي دي۔
د بل ټیکټ د پرانیستلو دمخه شرطونه په ترتیب وګورئ: پلیټفارم د وړاندې شوو کلاینټونو په لیست کې، هغه وسیله چې د براوزر تبادله بشپړولی شي، واقعاً د فدراسیون لپاره تنظیم شوی پای ټکی، او په Linux کې د loopback پورټ حد۔ لومړی ناکام شوی توکی هغه دی چې باید سم شي۔ له هغې وروسته هر څه اټکل دي۔