Mountain Duck SFTP: druhé přihlášení po VPN
Brána a souborový server ověřují různé věci. Použijte název hostitele od správce SFTP, odpovězte na jeho výzvu a ponechte kontrolu klíče hostitele.
VPN se připojí, panel nabídek ukazuje tunel, a Mountain Duck přesto žádá přihlášení. Pak žádá kód. Nic není rozbité: ověřují vás dva různé systémy a ten druhý o prvním nikdy neslyšel. MFA na VPN něco dokazuje bráně. Server SFTP žádá vlastní důkaz, vůči vlastnímu účtu.
Dvě výzvy, dva systémy
Brána a souborový server jsou oddělené domény zásad. Mohou sdílet adresář, nebo nemít nic společného kromě člověka, který je používá. Předání jednorázového kódu na VPN nevytvoří relaci na hostiteli SFTP a hostitel SFTP nemůže poznat, zda jste tunel vůbec použili. Každý systém věří, že se ptá jen on.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Berte ty tři jako samostatné řádky ve svých poznámkách. Když jeden selže, řádek vám řekne, kterou konzoli otevřít, a to je většina práce.
Použijte adresu správce SFTP
Záložka potřebuje název hostitele a port, na kterých souborová služba skutečně naslouchá, což nemusí být adresa serveru VPN. Zeptejte se správce, který službu SFTP provozuje, a použijte stejný název hostitele jako ostatní klienti.
Ponechte kontrolu identity serveru nedotčenou. Mountain Duck a Cyberduck při prvním připojení zobrazí klíč hostitele a porovnání s hodnotou, kterou správce předá jiným kanálem, je krok, který zabrání špatnému serveru převzít vaše přihlašovací údaje. Vypnutí této kontroly, aby se záložka připojila, je trvalé rozhodnutí převlečené za pohodlí. Odebírá také jediný důkaz, který byste později měli, že soubor šel tam, kam jste zamýšleli.
Odpovězte na výzvu, kterou server pošle
Dokumentace projektu k SFTP popisuje podporu výzvy a odpovědi pro jednorázové kódy: úvodní výzvu k přihlášení a poté druhou výzvu ke kódu, jak si ji server vyžádá. Tento tok patří ke konfiguraci serveru a klient nemůže přidat vynucení dvoufaktorového ověření na straně serveru tím, že do pole hesla uloží jinou hodnotu.
Záložka by tedy měla uchovávat běžné přihlašovací údaje účtu a kód se má zadat, když se výzva objeví. Uložení měnícího se kódu jako trvalého hesla vytvoří záložku, která funguje jednou a pak selže způsobem, který vypadá jako špatné heslo. Vložení kódu do pole přihlašovacích údajů VPN selže jinak: brána ho odmítne a tunel vůbec nevznikne. Dvě výzvy, dvě místa a jejich záměna pokazí obojí.
Automatické připojení neumí stisknout tlačítko
Pokud se záložka připojuje znovu na pozadí, interaktivní výzva nemá koho odpovědět. Připojení to zkouší znovu, server se ptá znovu a protokol se plní pokusy, které nemohou uspět. To je poctivý výsledek zásady, která vyžaduje člověka.
Naplánujte interakci: připojte tunel a záložku, dokud jste přítomni, a pozdější automatická opětovná připojení berte jako nejlepší snahu. Pokud pracovní postup skutečně potřebuje přístup bez dozoru, musí vlastník serveru schválit jiné uspořádání ověřování, což je změna zásad, nikoli nastavení záložky.
Připojení není oprávnění
Připojený svazek dokazuje, že relace byla ověřena. Nedokazuje, že účet smí zapisovat všude na tom serveru. Zkontrolujte zamýšlenou složku, vyzkoušejte operaci, kterou skutečně potřebujete, a když na odpovědi záleží, potvrďte výsledek ze strany serveru. Postranní panel Finderu ukazuje svazek; o oprávněních za ním neříká nic.
Pro jiný protokol použijte dokumentovanou metodu ověřování daného poskytovatele, místo abyste tuto posloupnost kopírovali. Přihlášení do cloudu a výzva SSH mohou v postranním panelu vypadat stejně a pod povrchem se chovat zcela jinak.