AWS Client VPNをAWS SSOで認証できるようにする途中で詰まったところを書く

各種ログファイルの出力先

MacOS のトラブルシューティング - AWS Client VPN :
https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-user/macos-troubleshooting.html

/Users/username/.config/AWSVPNClient/logs

アプリケーションログ: アプリケーションに関する情報が含まれます。これらのログには「aws_vpn_client_」が前に付けられます。
OpenVPN ログ: OpenVPN プロセスに関する情報が含まれます。これらのログには「ovpn_aws_vpn_client_」が前に付けられます。

/tmp/AcvcHelperErrLog.txt
/tmp/AcvcHelperOutLog.txt

TunnelBlickなどのOpenVPNクライアントで読み込めない。もしくは接続エラーになる

現象

• TunnelBlickで出てきたエラー

"Unrecognized option or missing or extra parameter(s)".
このエラーは OpenVPN サーバから送られた OpenVPN 設定に以下の問題が含まれていることを示しています:
     • スペルが間違っている
     • パラメータが不足している、余計なパラメータが指定されている
     •このバージョンの OpenVPN では実装されていないオプションです(おそらく新しいオプションでまだサポートされていないか、古いオプションで既に削除されているもの)。"VPN の詳細" ウインドウの "設定" タブにある "OpenVPN バージョン" で、この設定で使用する OpenVPN のバージョンを選択できます。
詳細は "VPN の詳細" ウインドウの "ログ" タブに出力されているログを確認してください。

解決策

クライアント VPN エンドポイントが SAML ベースのフェデレーション認証を使用するように設定されている場合は、AWS が提供するクライアントを使用して接続する必要があります。

• ユーザーガイド > AWS Client VPN > MacOS
• https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-user/macos.html

発生した環境

Tunnelblick 3.8.3 (build 5520)

原因

• SAMLベースのフェデレーション認証を使用するクライアント VPN エンドポイントからクライアント設定をダウンロードしたovpnファイルには以下のようなオプション指定が入っている

〜大体110行目あたり〜
〜前略〜
auth-user-pass
auth-federate　　　　　　←問題の部分
auth-retry interact
auth-nocache
reneg-sec 0

• OpenVPN2.4時点では「auth-federate」と言うオプションは存在しないのでエラーとなる

ダウンロードしたプロファイルをAWS Client VPNで読み込み接続をしても、ログイン画面が開かず、ぐるぐる回ったまま動かなくなってしまう。

原因

Amazonから提供された クライアントVPN設定ファイルに認証機関 (CA) チェーン情報がないため、検証に失敗します。

• Windows のトラブルシューティング - AWS Client VPN :
• https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-user/windows-troubleshooting.html
  - ※Windows向け記事だがMacOSでも当てはまる

解決策

• ダウンロードしたプロファイルを開きセクションの3番目の証明書を置き換えて、設定ファイルをインポートしなおしてみる
• 置き換え先の内容は以下URLに記載されている
• Windows のトラブルシューティング - AWS Client VPN :
  • ※Windows向け記事だがMacOSでも当てはまる
  • https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-user/windows-troubleshooting.html

反省

• 全部ドキュメントに書いてあることでした。。。。
• サポートの人ごめんなさい。。。