Macmiilkee ayaa dhammayn kara gelitaanka SAML ee AWS Client VPN

Laba qof ayaa isku su'aal weydiiya AWS Client VPN iyo SAML, waxayna helaan jawaabo is khilaafsan. Mid wuxuu ka soo galo kombuyuutar la qaadan karo oo Ubuntu ah subax kasta; kan kalena wuxuu leeyahay telefoon, profile la soo dejiyay iyo macmiil diida hal sadar oo ku jira. Farqigu ma aha nasiib mana aha badhan qarsoon oo ku jira shaxda. Wax walba waxay ku xiran yihiin saddex shuruudood: in madal uu yahay mid ka mid ah kuwa AWS taageerto macmiilkiisa, in qalabka gacantaada ku jira uu samayn karo isdhaafsiga biraawsarka federaalka, iyo in barta ugu dambeysa loo habeeyay SAML. Haddii mid ka mid ah saddexda ka maqnaado, gelitaanku wuxuu istaagi doonaa meel kale.

Saddex shuruudood ayaa go'aamiya haddii gelitaanku dhammaan karo

Madalku waa kan ugu horreeya. AWS waxay bixisaa macmiilkeeda Client VPN ee Windows, macOS iyo Ubuntu ee AMD64, iyo dabayaaqadii Oktoobar 2026 bogga shuruudaha Linux wuxuu xusayaa Ubuntu 22.04, 24.04 iyo 26.04. Dhisme dib loo duubay, xirmo la beddelay ama qaybin kale ayaa laga yaabaa inay shaqeeyaan, laakiin ma aha madal la taageeray, markii ay jabtana, khadka taageeradu waa adiga.

Macmiilku waa kan labaad. Gelitaanka federaalku ma aha ikhtiyaar profile ah oo ay falanqayso app kasta oo la jaanqaadaya OpenVPN. Macmiilka la bixiyay wuxuu biraawsarka ku furaa bixiye aqoonsigaaga, wuxuu helaa jawaabta xaqiijinta ee la saxeexay wuxuuna jawaabtaas u diraa barta ugu dambeysa. App kaliya akhrinaya profile-ka oo dhisaya tunnel ma sameyso tallaabadan, si kasta oo diiwaanka xidhiidhkiisu u ekaan karo mid nadiif ah.

Barta ugu dambeysa waa tan saddexaad. Barta ugu dambeysa ee isticmaasha aqoonsiga Active Directory ama shahaadooyin is-dhaafsi ah waxay leedahay nidaam gabi ahaan ka duwan, beddelka macmiilladuna ma beddelayo. La xaqiiji habka xaqiijinta qofkii soo saaray profile-ka ka hor intaadan wax kale hagaajin.

Marka la isku daro, saddexda shuruudood waxay bixiyaan shax go'aan gaaban:

Sababta soo dejinta OpenVPN ugu istaagto auth-federate

Profile AWS Client VPN oo la dhoofiyay waxay qaadaysaa tilmaan u sheegta macmiilka in xaqiijintu ka dhacdo bannaanka tunnel-ka, iyada oo loo marayo federaal. Macmiilka caadiga ah ee OpenVPN ama si toos ah ayuu u diidayaa sadarka ama wuu iska indhatirayaa markaasna ma haysto wax aqoonsi ah oo uu soo bandhigo. Halkan ayay ku dhammaadaan inta badan isku dayada Android: profile-ka waa la soo dejiyaa, app-ku wuu diidayaa, ama xidhiidhku wuxuu ku dhintaa khalad habeyn ka hor inta aan xitaa hal baakidh ka bixin qalabka.

Tirtiridda auth-federate waa tallaabada xigta ee soo jiidashada leh, waxayna guuldarro cad u beddeshaa mid jahwareer leh. Ka saarista tilmaan ma beddesho barta SAML oo u beddelo xaqiijin magac isticmaale iyo furaha sirta ah. Barta ugu dambeysa weli waxay sugaysaa jawaab SAML la saxeexay waxayna diidayaa waxa macmiilku beddelkeeda soo diraan. Furaha sirta ah ee akoonkaaga, profile-ka la soo dejiyay iyo caddayn la koobiyeeyay ma aha aqoonsi la isweydaarsan karo.

Gelitaanka bixiye aqoonsiga Chrome ee telefoonka waxay caddaynaysaa oo kaliya in bixiyuhu aqbalay isticmaalaha. Wax ma sheegayso haddii jawaabtu gaadho macmiil dib ugu soo celin kara barta ugu dambeysa. shuruudaha xaqiijinta federaalka ayaa sababtan darteed macmiilka la bixiyay ka dhigaya qayb ka mid ah socodka: tallaabada biraawsarku waa lagama maarmaan mana ku filna.

Sida ay u eg tahay wadada shaashadda Linux ee la taageeray

Ku rakib xirmada AWS u soo saarto Ubuntu AMD64 maareeyaha xirmooyinka nidaamkaaga, ka dib fur xidhiidhka macmiilkaas halkii aad profile-ka ku soo dejin lahayd app VPN guud. Isticmaal profile-ka maamulahaagu u dhoofiyay barta ugu dambeysa; ha beddelin URL-ka dib u wicitaanka ama aqoonsiga macmiilka oo ka yimid hage hore, xitaa haddii macmiilku aqbalo.

Bilow xidhiidhka, dhammaystir gelitaanka iyo wixii codsi MFA ah ee biraawsarka furmaya, oo u ogolow socodka dib ugu soo noqoshada biraawsarka ilaa macmiilka inuu dhammaado. Ka dib codso cinwaanka gaarka ah ee aad runtii u baahan tahay, mar kale. Bog ku dhawaaqaya gelitaan guul leh ma aha caddayn in tunnel-ku kor u kacay.

Macmiilka Linux wuxuu u hayaa dekedaha TCP ee maxalliga ah 8096 ilaa 8115 jawaabaha SAML. Marka wareejintu ku xayiranto ka dib markii bixiye aqoonsigu ku aqbalay, eeg waxa horeba u dhagaysanaya muddadaas:

ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"

Deked la qabsaday, ama software ammaan oo barta ugu dambeysa oo xanniba dhagayste loopback, waxay soo saaraan gelitaan u eg mid dhammaaday oo aan waligii isku xidhin. Muddadaas ku hay maxalli ahaan. Waa waddo dib u noqosho dhinaca macmiilka, ma aha wax lagu furo koox ammaan EC2 ama qaanuun dab-damis irrid, furitaankiisa internetkana wuxuu kordhiyaa soo-gaadhista isagoon waxba hagaajin.

Akhri marxaladda guuldaraysata ka hor intaadan wax beddelin

Macmiilka eedayntu waa falcelin caadi ah, laakiin qodob kasta oo guuldarro ah wuxuu leeyahay milkiile kale. Marka hore go'aanso halka aad runtii joogto.

• Ma furmo daaqad biraawsar. Hubi habka xaqiijinta profile-ka, xidhiidhka aad dooratay iyo isdhexgalka biraawsarka caadiga ah ee shaashadda.
• Bixiye aqoonsigu wuu diidayaa akoonka. Qoondaynta akoonka, diiwaangelinta MFA ama habeynta app-ka SAML, dhammaantood waa aagga maamulaha.
• Biraawsarku wuu dhammaadaa laakiin macmiilku waligii isku xidh maayo. Jawaab xaqiijin dhacday ama aan la isticmaali karin, deked dib u noqosho oo xiran, ama wareejin guuldaraysatay.
• Tunnel-ku wuu kor u kacay laakiin app-ka lama gaari karo. Wadooyinka barta ugu dambeysa, xeerarka ogolaanshaha, kooxaha ammaanka, DNS. Ku celinta gelitaanka biraawsarka ma kordhin karto ogolaansho shabakad oo maqan.

Marka aad kor u qaaddo, hayso qoraalka khaladka macmiilka iyo waqtiga isku dayga. Odhaahda ah SAML wuu jabay iyo odhaahda ah macmiilku waligii ma helin jawaab xaqiijin ansax ah waxay dadka u diraan meelo gabi ahaan kala duwan.

Marka shuruuddu si kasta tahay Android

Android ma aha madal AWS ku soo saarto macmiilkeeda, sidaas darteed jawaabta daacadda ah waa in aanay jirin macmiil mobil ah oo la taageeray oo la rakibo. Tan waa xaddidaad naqshadeed, ma aha halxiraale lagu xalliyo telefoonka iyada oo profile-ka la tafatiranayo ilaa wax isku xidhmo.

Waxa is beddeli kara waa naqshadda gelitaanka ee ka dambeysa, go'aankaasna waxaa leh maamulaha: waddo gelitaan app oo la ansixiyay oo u socota hal adeeg gudaha ah oo telefoonku u baahan yahay, badeeco VPN oo taageerta mobil oo ay hay'adda horeba u shaqaysiiso, ama shaashad la taageeray oo loogu talagalay barta ugu dambeysa ee isticmaasha SAML oo kaliya. Ikhtiyaar kastaa wuxuu keenayaa habaynta barta ugu dambeysa, diiwaangelinta aqoonsiga iyo xeerarka ogolaanshaha, midkoodna isticmaaluhu kama abuuri karo profile la soo dejiyay.

Qalabka dhinac saddexaad ee sheegta inay xidhaan farqigan waxay u baahan yihiin dib u eegis taageero iyo ammaan oo cad oo daboola MFA, maaraynta jawaabaha, siyaasadda qalabka iyo xawaaraha cusboonaysiinta. Jiritaankoodu kama dhigayo macmiil Android oo AWS bixiyay, mana aha inaad u rarto qalabka xaqiijinta dib loo isticmaali karo telefoon si midkood u shaqeeyo.

Siiso maamulaha saddex xaqiiqo halkii aad ka siin lahayd dun xariir dheer oo ku saabsan tilmaamaha: habka xaqiijinta barta ugu dambeysa, khadka gaarka ah ee telefoonku gaari doono, iyo waqtiga kama dambaysta ah. Taas ayaa ku filan in lagu doorto shaashad, waddo gelitaan app iyo badeeco VPN cusub.

Ka hor intaadan furin tikit kale, hubi shuruudaha si kala horraysan: madalku liiska macmiillada la bixiyay, qalab dhammayn kara isdhaafsiga biraawsarka, barta ugu dambeysa oo runtii loo habeeyay federaal, iyo Linux-ka muddada dekedaha loopback. Shayga ugu horreeya ee guuldaraysta waa kan la hagaajinayo. Wax kasta oo ka dambeeya waa mala-awaal.