Mountain Duck SFTP: die zweite Anmeldung nach dem VPN
Gateway und Dateiserver prüfen unterschiedliche Dinge. Verwenden Sie den Hostnamen des SFTP-Administrators, beantworten Sie dessen Abfrage und behalten Sie die Hostschlüsselprüfung bei.
Das VPN verbindet, die Menüleiste zeigt einen Tunnel, und Mountain Duck fragt trotzdem nach einer Anmeldung. Dann fragt es nach einem Code. Nichts ist kaputt: Zwei verschiedene Systeme authentifizieren Sie, und das zweite hat vom ersten noch nie gehört. Die MFA des VPN beweist dem Gateway etwas. Der SFTP-Server verlangt seinen eigenen Nachweis, gegenüber seinem eigenen Konto.
Zwei Abfragen, zwei Systeme
Gateway und Dateiserver sind getrennte Policy-Domänen. Sie teilen vielleicht ein Verzeichnis oder haben nichts gemeinsam außer der Person, die sie benutzt. Ein Einmalcode am VPN erzeugt keine Sitzung auf dem SFTP-Host, und der SFTP-Host kann nicht erkennen, ob Sie überhaupt einen Tunnel benutzt haben. Jedes System glaubt, das einzige zu sein, das fragt.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Behandeln Sie die drei als getrennte Zeilen in Ihren Notizen. Wenn eine ausfällt, sagt Ihnen die Zeile, welche Konsole zu öffnen ist, und das ist der größte Teil der Arbeit.
Verwenden Sie die Adresse des SFTP-Administrators
Ein Lesezeichen braucht den Hostnamen und den Port, auf dem der Dateidienst tatsächlich lauscht, was nicht unbedingt die Adresse des VPN-Servers ist. Fragen Sie den Administrator, der den SFTP-Dienst betreibt, und verwenden Sie denselben Hostnamen wie andere Clients.
Lassen Sie die Prüfung der Serveridentität intakt. Mountain Duck und Cyberduck zeigen den Hostschlüssel bei der ersten Verbindung, und ihn mit einem Wert zu vergleichen, den der Administrator über einen anderen Kanal liefert, ist der Schritt, der verhindert, dass ein falscher Server Ihre Zugangsdaten erhält. Diese Prüfung abzuschalten, damit ein Lesezeichen verbindet, ist eine dauerhafte Entscheidung, getarnt als Bequemlichkeit. Sie beseitigt auch den einzigen Beweis, den Sie danach hätten, dass die Datei dort ankam, wo Sie es wollten.
Beantworten Sie die Abfrage des Servers
Die SFTP-Dokumentation des Projekts beschreibt Challenge-Response-Unterstützung für Einmalkennwörter: eine erste Anmeldeabfrage, dann eine zweite Abfrage für den Code, so wie der Server es verlangt. Der Ablauf gehört zur Konfiguration des Servers, und ein Client kann keine serverseitige Zwei-Faktor-Durchsetzung hinzufügen, indem er einen anderen Wert in sein Passwortfeld schreibt.
Das Lesezeichen sollte also die gewöhnlichen Kontozugangsdaten enthalten, und der Code sollte eingetippt werden, wenn die Abfrage erscheint. Einen wechselnden Code als dauerhaftes Passwort zu speichern erzeugt ein Lesezeichen, das einmal funktioniert und dann so scheitert, dass es wie ein falsches Passwort aussieht. Den Code in das Zugangsdatenfeld des VPN zu legen scheitert anders: Das Gateway weist ihn ab, und der Tunnel kommt nie zustande. Zwei Abfragen, zwei Stellen, und sie zu vertauschen bricht beides.
Auch automatisches Einbinden kann keinen Knopf drücken
Wenn das Lesezeichen im Hintergrund erneut verbindet, hat eine interaktive Abfrage niemanden, der sie beantwortet. Der Mount versucht es erneut, der Server fragt wieder, und das Protokoll füllt sich mit Versuchen, die nicht gelingen können. Das ist das ehrliche Ergebnis einer Richtlinie, die einen Menschen verlangt.
Planen Sie die Interaktion ein: Verbinden Sie Tunnel und Lesezeichen, solange Sie anwesend sind, und behandeln Sie spätere automatische Wiederverbindungen als Best-Effort. Wenn der Arbeitsablauf wirklich unbeaufsichtigten Zugriff braucht, muss der Servereigentümer eine andere Authentifizierungsregelung genehmigen, was eine Richtlinienänderung und keine Lesezeicheneinstellung ist.
Ein eingebundenes Volume ist keine Berechtigung
Ein eingebundenes Volume beweist, dass eine Sitzung authentifiziert wurde. Es beweist nicht, dass das Konto überall auf diesem Server schreiben darf. Prüfen Sie den vorgesehenen Ordner, probieren Sie den Vorgang aus, den Sie tatsächlich brauchen, und bestätigen Sie das Ergebnis von der Serverseite, wenn die Antwort zählt. Die Finder-Seitenleiste zeigt ein Volume; über die Berechtigungen dahinter sagt sie nichts.
Für ein anderes Protokoll verwenden Sie die dokumentierte Authentifizierungsmethode dieses Anbieters, statt diese Reihenfolge zu kopieren. Eine Cloud-Anmeldung und eine SSH-Abfrage können in der Seitenleiste gleich aussehen und sich darunter völlig anders verhalten.