ไคลเอนต์ใดจึงจะเข้าสู่ระบบ SAML ของ AWS Client VPN ได้สำเร็จ
เดสก์ท็อป Linux ที่มีไคลเอนต์ AWS ทำการส่งต่อ SAML ในเบราว์เซอร์ได้สำเร็จ ส่วนการนำเข้า OpenVPN ทั่วไปบน Android ทำไม่ได้ เงื่อนไขสามข้อเป็นตัวกำหนดกรณีของคุณ
สองคนถามคำถามเดียวกันเกี่ยวกับ AWS Client VPN และ SAML แต่ได้คำตอบตรงกันข้าม คนหนึ่งเข้าสู่ระบบจากแล็ปท็อป Ubuntu ทุกเช้า อีกคนมีโทรศัพท์ มีโปรไฟล์ที่ดาวน์โหลดมา และมีไคลเอนต์ที่ปฏิเสธบรรทัดหนึ่งในโปรไฟล์นั้น ความแตกต่างไม่ใช่โชคและไม่ใช่สวิตช์ที่ซ่อนอยู่ในแดชบอร์ด ทุกอย่างขึ้นอยู่กับเงื่อนไขสามข้อ คือ แพลตฟอร์มเป็นหนึ่งในแพลตฟอร์มที่ AWS สนับสนุนสำหรับไคลเอนต์ของตัวเองหรือไม่ เครื่องมือในมือคุณทำการแลกเปลี่ยนเบราว์เซอร์แบบเฟเดอเรชันได้หรือไม่ และปลายทางถูกกำหนดค่าไว้สำหรับ SAML หรือไม่ หากขาดข้อใดข้อหนึ่ง การเข้าสู่ระบบจะหยุดที่จุดที่ต่างกันออกไป
เงื่อนไขสามข้อตัดสินว่าการเข้าสู่ระบบจะเสร็จสิ้นได้หรือไม่
แพลตฟอร์มมาเป็นอันดับแรก AWS จัดหาไคลเอนต์ Client VPN ของตัวเองสำหรับ Windows, macOS และ Ubuntu บน AMD64 และ ณ ปลายเดือนตุลาคม 2026 หน้าเงื่อนไข Linux ระบุ Ubuntu 22.04, 24.04 และ 26.04 บิลด์ที่แพ็กเกจใหม่ แพ็กเกจที่แปลงแล้ว หรือดิสทริบิวชันอื่นอาจทำงานได้ แต่ไม่ใช่แพลตฟอร์มที่ได้รับการสนับสนุน และเมื่อมันพัง คุณก็คือสายสนับสนุนเอง
ไคลเอนต์มาเป็นอันดับที่สอง การเข้าสู่ระบบแบบเฟเดอเรชันไม่ใช่ตัวเลือกในโปรไฟล์ที่แอปที่เข้ากันได้กับ OpenVPN ทุกตัวจะอ่านได้ ไคลเอนต์ที่ให้มาจะเปิดผู้ให้บริการตัวตนของคุณในเบราว์เซอร์ รับการตอบกลับการพิสูจน์ตัวตนที่ลงนามแล้ว และส่งการตอบกลับนั้นไปยังปลายทาง แอปที่เพียงอ่านโปรไฟล์และสร้างอุโมงค์ไม่ได้ทำขั้นตอนนี้ ไม่ว่าบันทึกการเชื่อมต่อจะดูสะอาดเพียงใด
ปลายทางมาเป็นอันดับที่สาม ปลายทางที่ใช้ข้อมูลรับรอง Active Directory หรือใบรับรองแบบสองทางมีรูปแบบที่แตกต่างออกไปโดยสิ้นเชิง และการเปลี่ยนไคลเอนต์จะไม่เปลี่ยนสิ่งนั้น ยืนยันโหมดการพิสูจน์ตัวตนกับผู้ที่ออกโปรไฟล์ก่อนที่คุณจะแก้ไขสิ่งอื่น
เมื่อนำมารวมกัน เงื่อนไขทั้งสามให้ตารางการตัดสินใจสั้น ๆ ดังนี้
| Platform | AWS-provided client | Completes the SAML exchange | What that means |
|---|---|---|---|
| Ubuntu 22.04 / 24.04 / 26.04, AMD64 | Yes | Yes | Normal sign-in path; debug stages, not platforms |
| Windows or macOS | Yes | Yes | Same path, different installer |
| Android | No published client | No | Needs a different access design, not a different profile |
| Other Linux distributions | No | Depends on the tool | Runs at your own support risk |
ทำไมการนำเข้า OpenVPN จึงหยุดที่ auth-federate
โปรไฟล์ AWS Client VPN ที่ส่งออกมาจะมีคำสั่งที่บอกไคลเอนต์ว่าการพิสูจน์ตัวตนเกิดขึ้นนอกอุโมงค์ ผ่านเฟเดอเรชัน ไคลเอนต์ OpenVPN ทั่วไปจะปฏิเสธบรรทัดนั้นทันทีหรือไม่ก็เพิกเฉย แล้วก็ไม่มีข้อมูลรับรองใด ๆ ให้เสนอ ที่นี่คือจุดจบของความพยายามบน Android ส่วนใหญ่ โปรไฟล์ถูกนำเข้า แอปคัดค้าน หรือการเชื่อมต่อตายด้วยข้อผิดพลาดในการกำหนดค่าก่อนที่แพ็กเก็ตแรกจะออกจากอุปกรณ์
การลบ auth-federate เป็นก้าวต่อไปที่ชวนให้ทำ และมันเปลี่ยนความล้มเหลวที่ชัดเจนให้กลายเป็นความสับสน การลบคำสั่งไม่ได้เปลี่ยนปลายทาง SAML ให้เป็นการพิสูจน์ตัวตนด้วยชื่อผู้ใช้และรหัสผ่าน ปลายทางยังคงคาดหวังการตอบกลับ SAML ที่ลงนามแล้วและปฏิเสธสิ่งที่ไคลเอนต์ส่งมาแทน รหัสผ่านบัญชีของคุณ โปรไฟล์ที่ดาวน์โหลดมา และข้อความยืนยันที่คัดลอกมาไม่ใช่ข้อมูลรับรองที่ใช้แทนกันได้
การเข้าสู่ระบบที่ผู้ให้บริการตัวตนใน Chrome บนโทรศัพท์ พิสูจน์เพียงว่าผู้ให้บริการตัวตนยอมรับผู้ใช้ ไม่ได้บอกอะไรเลยว่าการตอบกลับจะไปถึงไคลเอนต์ที่ส่งกลับไปยังปลายทางได้หรือไม่ ข้อกำหนดการพิสูจน์ตัวตนแบบเฟเดอเรชัน จึงทำให้ไคลเอนต์ที่ให้มาเป็นส่วนหนึ่งของขั้นตอนนี้ด้วยเหตุผลนั้นเอง ขั้นตอนในเบราว์เซอร์จำเป็นแต่ไม่เพียงพอ
เส้นทางเดสก์ท็อป Linux ที่ได้รับการสนับสนุนเป็นอย่างไร
ติดตั้งแพ็กเกจที่ AWS เผยแพร่สำหรับ Ubuntu AMD64 ด้วยตัวจัดการแพ็กเกจของระบบ แล้วเปิดการเชื่อมต่อจากไคลเอนต์นั้นแทนที่จะนำเข้าโปรไฟล์ไปยังแอป VPN ทั่วไป ใช้โปรไฟล์ที่ผู้ดูแลระบบของคุณส่งออกมาสำหรับปลายทางนี้ อย่าเปลี่ยน URL เรียกกลับหรือตัวระบุไคลเอนต์จากคู่มือเก่า แม้ไคลเอนต์จะยอมรับก็ตาม
เริ่มการเชื่อมต่อ ทำการเข้าสู่ระบบและข้อความขอ MFA ใด ๆ ในเบราว์เซอร์ที่เปิดขึ้นให้เสร็จสิ้น และปล่อยให้ขั้นตอนส่งกลับจากเบราว์เซอร์ไปยังไคลเอนต์ดำเนินจนจบ จากนั้นขอที่อยู่ส่วนตัวที่คุณต้องการจริงอีกครั้ง หน้าที่ประกาศว่าการเข้าสู่ระบบสำเร็จไม่ใช่หลักฐานว่าอุโมงค์ขึ้นแล้ว
ไคลเอนต์ Linux สงวนพอร์ต TCP ภายในเครื่องตั้งแต่ 8096 ถึง 8115 สำหรับการตอบกลับ SAML เมื่อการส่งต่อค้างหลังจากผู้ให้บริการตัวตนยอมรับคุณแล้ว ให้ดูว่ามีอะไรกำลังฟังอยู่ในช่วงนั้นอยู่แล้ว
ss -ltnp | grep -E ":809[6-9]|:81(0[0-9]|1[0-5])"
พอร์ตที่ถูกใช้งานอยู่ หรือซอฟต์แวร์ความปลอดภัยของปลายทางที่บล็อกตัวฟังแบบ loopback ทำให้การเข้าสู่ระบบดูเหมือนเสร็จสิ้นแล้วก็ไม่เชื่อมต่อเลย เก็บช่วงนั้นไว้ภายในเครื่อง มันเป็นเส้นทางส่งกลับฝั่งไคลเอนต์ ไม่ใช่สิ่งที่ควรเปิดในกลุ่มความปลอดภัยของ EC2 หรือกฎไฟร์วอลล์ของเกตเวย์ และการเปิดสู่อินเทอร์เน็ตจะเพิ่มการเปิดเผยโดยไม่ได้แก้อะไร
อ่านขั้นตอนที่ล้มเหลวก่อนที่คุณจะเปลี่ยนอะไร
การโทษไคลเอนต์เป็นปฏิกิริยาปกติ แต่จุดล้มเหลวแต่ละจุดเป็นของเจ้าของที่ต่างกัน ก่อนอื่นให้ระบุว่าคุณอยู่ตรงไหนจริง ๆ
- ไม่มีหน้าต่างเบราว์เซอร์เปิดขึ้น ตรวจสอบโหมดการพิสูจน์ตัวตนของโปรไฟล์ การเชื่อมต่อที่คุณเลือก และการทำงานร่วมกับเบราว์เซอร์เริ่มต้นของเดสก์ท็อป
- ผู้ให้บริการตัวตนปฏิเสธบัญชี การกำหนดบัญชี การลงทะเบียน MFA หรือการกำหนดค่าแอปพลิเคชัน SAML ทั้งหมดเป็นพื้นที่ของผู้ดูแลระบบ
- เบราว์เซอร์จบแล้วแต่ไคลเอนต์ไม่เคยเชื่อมต่อ การตอบกลับการพิสูจน์ตัวตนที่หมดอายุหรือใช้ไม่ได้ พอร์ตส่งกลับที่ถูกบล็อก หรือการส่งต่อที่ล้มเหลว
- อุโมงค์ขึ้นแล้วแต่แอปพลิเคชันเข้าถึงไม่ได้ เส้นทางของปลายทาง กฎการอนุญาต กลุ่มความปลอดภัย DNS การทำเข้าสู่ระบบในเบราว์เซอร์ซ้ำไม่สามารถเพิ่มสิทธิ์เครือข่ายที่ขาดหายไปได้
เก็บข้อความแสดงข้อผิดพลาดของไคลเอนต์และเวลาที่พยายามไว้เมื่อคุณยกระดับเรื่อง ข้อความที่ว่า SAML เสียและการที่ไคลเอนต์ไม่เคยได้รับการตอบกลับการพิสูจน์ตัวตนที่ถูกต้องส่งคนไปยังที่ที่ต่างกันโดยสิ้นเชิง
เมื่อความต้องการเป็น Android อยู่ดี
Android ไม่ใช่แพลตฟอร์มที่ AWS เผยแพร่ไคลเอนต์ของตัวเอง ดังนั้นคำตอบที่ตรงไปตรงมาคือไม่มีไคลเอนต์มือถือที่ได้รับการสนับสนุนให้ติดตั้ง นี่เป็นข้อจำกัดด้านการออกแบบ ไม่ใช่ปริศนาที่ต้องแก้บนโทรศัพท์ด้วยการแก้ไขโปรไฟล์จนกว่าอะไรบางอย่างจะเชื่อมต่อได้
สิ่งที่เปลี่ยนได้คือการออกแบบการเข้าถึงที่อยู่เบื้องหลัง และการตัดสินใจนั้นเป็นของผู้ดูแลระบบ เส้นทางการเข้าถึงแอปพลิเคชันที่ได้รับอนุมัติไปยังบริการภายในหนึ่งบริการที่โทรศัพท์ต้องการ ผลิตภัณฑ์ VPN ที่รองรับมือถือซึ่งองค์กรใช้งานอยู่แล้ว หรือเดสก์ท็อปที่ได้รับการสนับสนุนสำหรับปลายทางที่ใช้ SAML เท่านั้น แต่ละทางเลือกนำการกำหนดค่าปลายทาง การลงทะเบียนตัวตน และกฎการอนุญาตของตัวเองมา และไม่มีสิ่งใดที่ผู้ใช้สร้างได้จากโปรไฟล์ที่ดาวน์โหลดมา
เครื่องมือของบุคคลที่สามที่อ้างว่าปิดช่องว่างนี้ต้องมีการทบทวนด้านการสนับสนุนและความปลอดภัยอย่างชัดเจน ซึ่งครอบคลุม MFA การจัดการการตอบกลับ นโยบายอุปกรณ์ และจังหวะการอัปเดต การมีอยู่ไม่ได้ทำให้เป็นไคลเอนต์ Android ที่ AWS จัดหาให้ และคุณไม่ควรย้ายวัสดุการพิสูจน์ตัวตนที่ใช้ซ้ำได้ไปยังโทรศัพท์เพื่อให้หนึ่งในนั้นทำงาน
ให้ข้อเท็จจริงสามข้อแก่ผู้ดูแลระบบแทนการพูดคุยยาว ๆ เกี่ยวกับคำสั่ง โหมดการพิสูจน์ตัวตนของปลายทาง ทรัพยากรส่วนตัวที่โทรศัพท์ต้องเข้าถึง และกำหนดเวลา เท่านั้นก็เพียงพอที่จะเลือกระหว่างเดสก์ท็อป เส้นทางการเข้าถึงแอปพลิเคชัน และผลิตภัณฑ์ VPN ใหม่
ตรวจสอบเงื่อนไขตามลำดับก่อนเปิดตั๋วใบใหม่ แพลตฟอร์มอยู่ในรายการไคลเอนต์ที่ให้มา เครื่องมือที่ทำการแลกเปลี่ยนในเบราว์เซอร์ได้ ปลายทางที่กำหนดค่าสำหรับเฟเดอเรชันจริง ๆ และบน Linux ช่วงพอร์ต loopback รายการแรกที่ล้มเหลวคือสิ่งที่ต้องแก้ ทุกอย่างหลังจากนั้นคือการเดา