Mountain Duck SFTP: el segon inici de sessió després de la VPN
La passarel·la i el servidor de fitxers autentiquen coses diferents. Feu servir el nom d’amfitrió de l’administrador de l’SFTP, responeu la sol·licitud i manteniu la comprovació de la clau d’amfitrió.
La VPN es connecta, la barra de menús mostra un túnel i Mountain Duck encara demana un inici de sessió. Després demana un codi. No hi ha res trencat: dos sistemes diferents us autentiquen i el segon no ha sentit mai a parlar del primer. L’MFA de la VPN demostra alguna cosa a la passarel·la. El servidor SFTP demana la seva pròpia prova, contra el seu propi compte.
Dues sol·licituds, dos sistemes
La passarel·la i el servidor de fitxers són dominis de política separats. Poden compartir un directori o no tenir res en comú tret de la persona que els fa servir. Passar un codi d’un sol ús a la VPN no crea cap sessió a l’amfitrió SFTP, i l’amfitrió SFTP no pot saber si heu fet servir un túnel. Cada sistema creu que és l’únic que pregunta.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Tracteu els tres com a files separades a les vostres notes. Quan un falla, la fila us diu quina consola obrir, i això és la major part de la feina.
Feu servir l’adreça de l’administrador de l’SFTP
Un marcador necessita el nom d’amfitrió i el port on el servei de fitxers realment escolta, que no és necessàriament l’adreça del servidor VPN. Pregunteu a l’administrador que gestiona el servei SFTP i feu servir el mateix nom d’amfitrió que altres clients.
Manteniu intacta la comprovació d’identitat del servidor. Mountain Duck i Cyberduck mostren la clau d’amfitrió a la primera connexió, i comparar-la amb un valor que l’administrador facilita per un altre canal és el pas que evita que un servidor equivocat rebi les vostres credencials. Desactivar aquesta comprovació perquè un marcador es connecti és una decisió permanent disfressada de comoditat. També elimina l’única evidència que tindríeu després que el fitxer va anar on volíeu.
Responeu el desafiament que envia el servidor
La documentació SFTP del projecte descriu el suport de desafiament-resposta per a codis d’un sol ús: una sol·licitud inicial d’inici de sessió i després una segona sol·licitud del codi, tal com la demana el servidor. El flux pertany a la configuració del servidor, i un client no pot afegir l’exigència de doble factor al costat del servidor guardant un altre valor al camp de contrasenya.
Per tant, el marcador ha de guardar la credencial ordinària del compte, i el codi s’ha d’escriure quan aparegui la sol·licitud. Guardar un codi canviant com a contrasenya permanent produeix un marcador que funciona un cop i després falla d’una manera que sembla una contrasenya incorrecta. Posar el codi al camp de credencials de la VPN falla d’una altra manera: la passarel·la el rebutja i el túnel no s’aixeca mai. Dues sol·licituds, dos llocs, i intercanviar-los trenca tots dos.
El muntatge automàtic no pot prémer cap botó
Si el marcador es reconnecta en segon pla, un desafiament interactiu no té ningú que el respongui. El muntatge reintenta, el servidor torna a preguntar i el registre s’omple d’intents que no poden tenir èxit. Aquest és el resultat honest d’una política que requereix una persona.
Planifiqueu la interacció: connecteu el túnel i el marcador mentre hi sou present, i després tracteu les reconnexions automàtiques com a millor esforç. Si el flux de treball realment necessita accés sense supervisió, el propietari del servidor ha d’aprovar una altra disposició d’autenticació, que és un canvi de política i no un paràmetre del marcador.
Un muntatge no és un permís
Un volum muntat demostra que una sessió s’ha autenticat. No demostra que el compte pugui escriure a tot arreu d’aquell servidor. Comproveu la carpeta prevista, proveu l’operació que realment necessiteu i confirmeu el resultat des del costat del servidor quan la resposta importi. La barra lateral del Finder mostra un volum; no diu res sobre els permisos que hi ha darrere.
Per a un altre protocol, feu servir el mètode d’autenticació documentat d’aquell proveïdor en lloc de copiar aquesta seqüència. Un inici de sessió al núvol i un desafiament SSH poden semblar idèntics a la barra lateral i comportar-se de manera completament diferent a sota.