Mountain Duck SFTP: تسجيل الدخول الثاني بعد VPN
البوابة وخادم الملفات يتحققان من شيئين مختلفين. استخدم اسم المضيف الذي يقدّمه مسؤول SFTP، وأجب عن طلبه، واحتفظ بفحص مفتاح المضيف.
يتصل الـ VPN، ويعرض شريط القوائم نفقًا، ومع ذلك يطلب Mountain Duck تسجيل دخول. ثم يطلب رمزًا. لا شيء معطّل: نظامان مختلفان يتحققان من هويتك، والثاني لم يسمع بالأول قط. تُثبت مصادقة الـ VPN المتعددة شيئًا للبوابة. أما خادم SFTP فيطلب إثباته الخاص، مقابل حسابه الخاص.
طلبان، نظامان
البوابة وخادم الملفات نطاقان سياسيان منفصلان. قد يشتركان في دليل، أو قد لا يكون بينهما شيء مشترك سوى الشخص الذي يستخدمهما. تمرير رمز لمرة واحدة عند الـ VPN لا ينشئ جلسة على مضيف SFTP، ولا يستطيع مضيف SFTP أن يعرف إن كنت تستخدم نفقًا أصلًا. كل نظام يعتقد أنه الوحيد الذي يسأل.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
تعامل مع الصفوف الثلاثة كصفوف منفصلة في ملاحظاتك. عندما يفشل أحدها، يخبرك الصف أي وحدة تحكم تفتح، وهذا هو معظم العمل.
استخدم عنوان مسؤول SFTP
يحتاج الإشارة المرجعية إلى اسم المضيف والمنفذ اللذين تستمع عليهما خدمة الملفات فعلًا، وهو ليس بالضرورة عنوان خادم الـ VPN. اسأل المسؤول الذي يدير خدمة SFTP، واستخدم اسم المضيف نفسه الذي يستخدمه العملاء الآخرون.
أبقِ فحص هوية الخادم سليمًا. يعرض Mountain Duck وCyberduck مفتاح المضيف عند أول اتصال، ومقارنته بقيمة يوفرها المسؤول عبر قناة منفصلة هي الخطوة التي تمنع خادمًا خاطئًا من تلقي بيانات اعتمادك. تعطيل ذلك الفحص لتنجح الإشارة المرجعية قرار دائم متخفٍ في صورة تسهيل. وهو أيضًا يزيل الدليل الوحيد الذي سيكون لديك لاحقًا على أن الملف ذهب حيث أردت.
أجب عن التحدي الذي يرسله الخادم
توثيق المشروع لـ SFTP يصف دعم التحدي والاستجابة لرموز المرور لمرة واحدة: طلب تسجيل دخول أولي، ثم طلب ثانٍ للرمز، وفق ما يطلبه الخادم. التدفق ينتمي إلى إعداد الخادم، ولا يستطيع العميل إضافة فرض التحقق بخطوتين من جهة الخادم عبر تخزين قيمة أخرى في حقل كلمة المرور.
لذا ينبغي أن تحتفظ الإشارة المرجعية ببيانات اعتماد الحساب العادية، ويُكتب الرمز عند ظهور الطلب. تخزين رمز متغير ككلمة مرور دائمة ينتج إشارة مرجعية تعمل مرة واحدة، ثم تفشل بطريقة تبدو ككلمة مرور خاطئة. أما وضع الرمز في حقل اعتماد الـ VPN فيفشل بشكل مختلف: ترفضه البوابة، ولا ينهض النفق أبدًا. طلبان، ومكانان، وتبديلهما يُعطّل الاثنين معًا.
التحميل التلقائي لا يستطيع الضغط على زر
إذا أعادت الإشارة المرجعية الاتصال في الخلفية، فلن يجد التحدي التفاعلي من يجيب عليه. يعيد التحميل المحاولة، ويسأل الخادم مرة أخرى، ويمتلئ السجل بمحاولات لا يمكن أن تنجح. هذه هي النتيجة الصادقة لسياسة تتطلب وجود شخص.
خطّط للتفاعل: صِل النفق والإشارة المرجعية وأنت حاضر، ثم عامل إعادة الاتصال التلقائي اللاحقة كأفضل جهد. وإذا كان سير العمل يحتاج فعلًا إلى وصول غير مراقَب، فعلى مالك الخادم الموافقة على ترتيب مصادقة مختلف، وهو تغيير في السياسة لا في إعداد الإشارة المرجعية.
التحميل ليس إذنًا
الحجم المثبَّت يثبت أن جلسة قد تمت المصادقة عليها. لكنه لا يثبت أن الحساب يجوز له الكتابة في كل مكان على ذلك الخادم. افحص المجلد المقصود، وجرّب العملية التي تحتاجها فعلًا، وتأكد من النتيجة من جهة الخادم عندما تكون الإجابة مهمة. يعرض الشريط الجانبي في Finder حجمًا؛ وهو لا يقول شيئًا عن الأذونات خلفه.
لبروتوكول آخر، استخدم طريقة المصادقة الموثّقة لدى ذلك المزوّد بدلًا من نسخ هذا التسلسل. قد يبدو تسجيل الدخول السحابي وتحدي SSH متطابقين في الشريط الجانبي، ويعملان بشكل مختلف تمامًا من الداخل.