Kateri odjemalec lahko dokonča prijavo SAML v AWS Client VPN
Namizja Linux z odjemalcem AWS lahko dokončajo predajo SAML v brskalniku; običajen uvoz OpenVPN v Androidu tega ne zmore. Vaš primer odločajo trije pogoji.
Dve osebi postavita isto vprašanje o AWS Client VPN in SAML ter dobita nasprotna odgovora. Eden se vsako jutro prijavi iz prenosnika z Ubuntu; drugi ima telefon, preneseni profil in odjemalca, ki v njem zavrne eno vrstico. Razlika ni sreča in ni skrito stikalo na nadzorni plošči. Vse se zvede na tri pogoje: ali je platforma ena od tistih, ki jih AWS podpira za svojega odjemalca, ali orodje v vaši roki zmore izvesti federirano izmenjavo v brskalniku in ali je končna točka sploh nastavljena za SAML. Če zgrešite enega od treh, se prijava ustavi na drugem mestu.
Trije pogoji odločajo, ali se prijava lahko dokonča
Platforma je prva. AWS dobavlja svojega odjemalca Client VPN za Windows, macOS in Ubuntu na AMD64, in konec oktobra 2026 stran s zahtevami za Linux navaja Ubuntu 22.04, 24.04 in 26.04. Ponovno zapakirana različica, pretvorjen paket ali druga distribucija lahko delujejo, vendar to ni podprta platforma, in ko se pokvari, ste linija podpore vi.
Odjemalec je drugi. Federirana prijava ni možnost profila, ki bi jo razčlenila vsaka aplikacija, združljiva z OpenVPN. Priloženi odjemalec odpre vašega ponudnika identitete v brskalniku, prejme podpisan odgovor preverjanja pristnosti in ga pošlje končni točki. Aplikacija, ki samo bere profil in postavi tunel, tega koraka ne izvede, ne glede na to, kako čist je njen dnevnik povezave.
Končna točka je tretja. Končna točka s poverilnicami Active Directory ali vzajemnimi potrdili ima povsem drugačno ureditev in zamenjava odjemalcev tega ne bo spremenila. Potrdite način preverjanja pristnosti pri tistem, ki je profil izdal, preden začnete odpravljati karkoli drugega.
Skupaj trije pogoji dajo kratko odločitveno tabelo:
| Platform | AWS-provided client | Completes the SAML exchange | What that means |
|---|---|---|---|
| Ubuntu 22.04 / 24.04 / 26.04, AMD64 | Yes | Yes | Normal sign-in path; debug stages, not platforms |
| Windows or macOS | Yes | Yes | Same path, different installer |
| Android | No published client | No | Needs a different access design, not a different profile |
| Other Linux distributions | No | Depends on the tool | Runs at your own support risk |
Zakaj se uvoz OpenVPN ustavi pri auth-federate
Izvožen profil AWS Client VPN nosi direktivo, ki odjemalcu pove, da preverjanje pristnosti poteka zunaj tunela, prek federacije. Običajen odjemalec OpenVPN vrstico bodisi takoj zavrne bodisi jo prezre in takrat nima nobenih poverilnic za ponuditi. Tu se konča večina poskusov v Androidu: profil se uvozi, aplikacija ugovarja ali povezava umre z napako v konfiguraciji, preden en sam paket zapusti napravo.
Brisanje auth-federate je mamljiva naslednja poteza in jasno napako spremeni v zmedeno. Odstranitev direktive ne spremeni končne točke SAML v preverjanje pristnosti z uporabniškim imenom in geslom. Končna točka še vedno pričakuje podpisan odgovor SAML in zavrne tisto, kar odjemalec pošlje namesto njega. Geslo vašega računa, preneseni profil in kopirana trditev niso zamenljive poverilnice.
Prijava pri ponudniku identitete v Chromu na telefonu dokaže le, da je ponudnik identitete uporabnika sprejel. Nič ne pove o tem, ali odgovor pride do odjemalca, ki ga lahko pošlje nazaj končni točki. zahteve za federirano preverjanje pristnosti prav zato naredijo priloženega odjemalca del toka: korak v brskalniku je nujen in ne zadosten.
Kako izgleda podprta pot za namizje Linux
Namestite paket, ki ga AWS objavi za Ubuntu AMD64, s sistemskim upraviteljem paketov in nato odprite povezavo iz tega odjemalca, namesto da bi profil uvozili v splošno aplikacijo VPN. Uporabite profil, ki ga je vaš skrbnik izvozil za to končno točko; ne zamenjajte povratnega URL-ja ali identifikatorja odjemalca iz starejšega vodnika, tudi če ga odjemalec sprejme.
Zaženite povezavo, dokončajte prijavo in vsako zahtevo MFA v brskalniku, ki se odpre, in pustite, da se povratni tok iz brskalnika v odjemalca zaključi. Nato znova zahtevajte zasebni naslov, ki ga resnično potrebujete. Stran, ki objavi uspešno prijavo, ni dokaz, da se je tunel dvignil.
Odjemalec za Linux si za odgovore SAML pridrži lokalna vrata TCP od 8096 do 8115. Ko se predaja ustavi potem, ko vas je ponudnik identitete že sprejel, poglejte, kaj v tem obsegu že posluša:
ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"
Zasedena vrata ali varnostna programska oprema končne točke, ki blokira poslušalca loopback, ustvari prijavo, ki je videti dokončana in se nato nikoli ne poveže. Ta obseg držite lokalno. To je povratna pot na strani odjemalca, ne kaj, kar bi odprli v varnostni skupini EC2 ali v pravilu požarnega zidu prehoda, in odpiranje v internet doda izpostavljenost, ne da bi karkoli popravilo.
Preberite stopnjo, ki odpove, preden karkoli spremenite
Kriviti odjemalca je običajen refleks, vendar vsaka točka odpovedi pripada drugemu lastniku. Najprej ugotovite, kje v resnici ste.
- Odpre se nobeno okno brskalnika. Preverite način preverjanja pristnosti profila, izbrano povezavo in integracijo s privzetim brskalnikom na namizju.
- Ponudnik identitete račun zavrne. Dodelitev računa, registracija MFA ali konfiguracija aplikacije SAML, vse to je področje skrbnika.
- Brskalnik se konča, a odjemalec se nikoli ne poveže. Potekel ali neuporaben odgovor preverjanja pristnosti, blokirana povratna vrata ali neuspešna predaja.
- Tunel je dvignjen, a aplikacija ni dosegljiva. Poti končne točke, pravila avtorizacije, varnostne skupine, DNS. Ponavljanje prijave v brskalniku ne more dodati manjkajočega omrežnega dovoljenja.
Ob stopnjevanju shranite besedilo napake odjemalca in čas poskusa. Trditev, da je SAML pokvarjen, in trditev, da odjemalec nikoli ni prejel veljavnega odgovora preverjanja pristnosti, pošiljata ljudi na povsem različna mesta.
Ko je zahteva vendarle Android
Android ni platforma, za katero AWS objavlja svojega odjemalca, zato je pošten odgovor, da ni podprtega mobilnega odjemalca za namestitev. To je oblikovna omejitev, ne uganka, ki bi jo bilo treba rešiti na telefonu z urejanjem profila, dokler se kaj ne poveže.
Kar se lahko spremeni, je zasnova dostopa za tem, in ta odločitev pripada skrbniku: odobrena pot dostopa do aplikacije do edine notranje storitve, ki jo telefon potrebuje, izdelek VPN s podporo mobilnih naprav, ki ga organizacija že upravlja, ali podprto namizje za končno točko, ki uporablja samo SAML. Vsaka možnost prinese svojo konfiguracijo končne točke, registracijo identitete in pravila avtorizacije, in ničesar od tega uporabnik ne more ustvariti iz prenesenega profila.
Orodja tretjih strani, ki trdijo, da zapirajo to vrzel, potrebujejo izrecen pregled podpore in varnosti, ki pokriva MFA, obdelavo odgovorov, politiko naprav in ritem posodobitev. Njihov obstoj jih ne naredi odjemalca Android, ki ga zagotavlja AWS, in na telefon ne bi smeli prenašati materiala za preverjanje pristnosti za večkratno uporabo, da bi eno od njih delovalo.
Skrbniku dajte tri dejstva namesto dolge niti o direktivah: način preverjanja pristnosti končne točke, zasebni vir, ki ga mora telefon doseči, in rok. To zadostuje za izbiro med namizjem, potjo dostopa do aplikacije in novim izdelkom VPN.
Preden odprete novo zahtevo, preverite pogoje po vrsti: platforma na seznamu priloženih odjemalcev, orodje, ki lahko dokonča izmenjavo v brskalniku, končna točka, ki je resnično nastavljena za federacijo, in v Linuxu obseg vrat loopback. Prva postavka, ki odpove, je tista, ki jo je treba popraviti. Vse za njo je ugibanje.