Mountain Duck SFTP: druga prijava nakon VPN-a
Prolaz i datotečni poslužitelj provjeravaju različite stvari. Upotrijebite ime hosta SFTP administratora, odgovorite na njegov upit i zadržite provjeru ključa hosta.
VPN se povezuje, traka izbornika pokazuje tunel, a Mountain Duck ipak traži prijavu. Zatim traži kod. Ništa nije pokvareno: dva različita sustava provjeravaju vaš identitet i drugi nikada nije čuo za prvi. MFA na VPN-u dokazuje nešto prolazu. SFTP poslužitelj traži vlastiti dokaz, prema vlastitom računu.
Dva upita, dva sustava
Prolaz i datotečni poslužitelj odvojene su političke domene. Mogu dijeliti direktorij ili ne imati ništa zajedničko osim osobe koja ih koristi. Prosljeđivanje jednokratnog koda na VPN-u ne stvara sesiju na SFTP hostu, a SFTP host ne može znati jeste li uopće koristili tunel. Svaki sustav vjeruje da je jedini koji pita.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Tretirajte ta tri kao odvojene retke u svojim bilješkama. Kad jedan zakaže, redak vam kaže koju konzolu otvoriti, i to je veći dio posla.
Upotrijebite adresu SFTP administratora
Oznaka treba ime hosta i port na kojima datotečna usluga stvarno sluša, što nije nužno adresa VPN poslužitelja. Pitajte administratora koji vodi SFTP uslugu i upotrijebite isto ime hosta koje koriste drugi klijenti.
Sačuvajte provjeru identiteta poslužitelja netaknutom. Mountain Duck i Cyberduck prikazuju ključ hosta pri prvom spajanju, a usporedba s vrijednošću koju administrator daje izvan kanala je korak koji sprječava pogrešan poslužitelj da primi vaše vjerodajnice. Isključivanje te provjere da bi se oznaka spojila trajna je odluka prerušena u pogodnost. Ona uklanja i jedini dokaz koji biste kasnije imali da je datoteka otišla kamo ste namjeravali.
Odgovorite na izazov koji šalje poslužitelj
Projektna SFTP dokumentacija opisuje podršku za izazov-odgovor za jednokratne lozinke: početni upit za prijavu, zatim drugi upit za kod, kako poslužitelj zatraži. Taj tijek pripada konfiguraciji poslužitelja, a klijent ne može dodati dvofaktorsku prisilu na strani poslužitelja spremanjem druge vrijednosti u polje lozinke.
Zato oznaka treba čuvati uobičajene vjerodajnice računa, a kod treba upisati kad se upit pojavi. Spremanje promjenjivog koda kao trajne lozinke daje oznaku koja radi jednom, a zatim zakaže na način koji izgleda kao pogrešna lozinka. Stavljanje koda u polje vjerodajnica VPN-a zakaže drukčije: prolaz ga odbija i tunel se nikad ne podigne. Dva upita, dva mjesta, i njihova zamjena kvari oboje.
Automatsko montiranje ne može pritisnuti gumb
Ako se oznaka ponovno povezuje u pozadini, interaktivni izazov nema koga pitati. Montiranje ponavlja pokušaj, poslužitelj ponovno pita, a zapis se puni pokušajima koji ne mogu uspjeti. To je iskren rezultat politike koja zahtijeva osobu.
Planirajte interakciju: spojite tunel i oznaku dok ste prisutni, a kasnija automatska ponovna povezivanja tretirajte kao najbolji pokušaj. Ako tijek rada doista treba pristup bez nadzora, vlasnik poslužitelja mora odobriti drukčiji raspored provjere identiteta, što je promjena politike, a ne postavka oznake.
Montiranje nije dopuštenje
Montirani volumen dokazuje da je sesija provjerena. Ne dokazuje da račun smije pisati posvuda na tom poslužitelju. Provjerite namjeravanu mapu, isprobajte radnju koja vam stvarno treba i potvrdite rezultat sa strane poslužitelja kad je odgovor važan. Finderova bočna traka prikazuje volumen; ne govori ništa o dopuštenjima iza njega.
Za drugi protokol upotrijebite dokumentiranu metodu provjere identiteta tog pružatelja umjesto kopiranja ovog slijeda. Prijava u oblak i SSH izazov mogu izgledati jednako u bočnoj traci, a ponašati se potpuno različito ispod površine.