Mountain Duck SFTP: η δεύτερη σύνδεση μετά το VPN
Η πύλη και ο διακομιστής αρχείων επαληθεύουν διαφορετικά πράγματα. Χρησιμοποιήστε το όνομα κεντρικού υπολογιστή του διαχειριστή SFTP, απαντήστε στην προτροπή του και διατηρήστε τον έλεγχο κλειδιού υπολογιστή.
Το VPN συνδέεται, η γραμμή μενού δείχνει σήραγγα, και το Mountain Duck ζητά ακόμη σύνδεση. Μετά ζητά κωδικό. Τίποτα δεν είναι χαλασμένο: δύο διαφορετικά συστήματα σας επαληθεύουν, και το δεύτερο δεν έχει ακούσει ποτέ για το πρώτο. Το MFA του VPN αποδεικνύει κάτι στην πύλη. Ο διακομιστής SFTP ζητά τη δική του απόδειξη, απέναντι στον δικό του λογαριασμό.
Δύο προτροπές, δύο συστήματα
Η πύλη και ο διακομιστής αρχείων είναι χωριστοί τομείς πολιτικής. Μπορεί να μοιράζονται έναν κατάλογο, ή να μην έχουν τίποτα κοινό παρά μόνο το άτομο που τα χρησιμοποιεί. Η μετάδοση κωδικού μίας χρήσης στο VPN δεν δημιουργεί συνεδρία στον κεντρικό υπολογιστή SFTP, και ο κεντρικός υπολογιστής SFTP δεν μπορεί να καταλάβει αν χρησιμοποιήσατε καθόλου σήραγγα. Κάθε σύστημα πιστεύει ότι είναι το μόνο που ρωτά.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Αντιμετωπίστε τα τρία ως ξεχωριστές γραμμές στις σημειώσεις σας. Όταν ένα αποτύχει, η γραμμή σας λέει ποια κονσόλα να ανοίξετε, και αυτό είναι το μεγαλύτερο μέρος της δουλειάς.
Χρησιμοποιήστε τη διεύθυνση του διαχειριστή SFTP
Ένας σελιδοδείκτης χρειάζεται το όνομα κεντρικού υπολογιστή και τη θύρα όπου η υπηρεσία αρχείων ακούει πραγματικά, που δεν είναι απαραίτητα η διεύθυνση του διακομιστή VPN. Ρωτήστε τον διαχειριστή που εκτελεί την υπηρεσία SFTP, και χρησιμοποιήστε το ίδιο όνομα κεντρικού υπολογιστή που χρησιμοποιούν άλλοι πελάτες.
Κρατήστε τον έλεγχο ταυτότητας διακομιστή άθικτο. Το Mountain Duck και το Cyberduck δείχνουν το κλειδί του κεντρικού υπολογιστή κατά την πρώτη σύνδεση, και η σύγκρισή του με μια τιμή που παρέχει ο διαχειριστής εκτός καναλιού είναι το βήμα που εμποδίζει λάθος διακομιστή να παραλάβει τα διαπιστευτήριά σας. Η απενεργοποίηση αυτού του ελέγχου ώστε να συνδεθεί ένας σελιδοδείκτης είναι μόνιμη απόφαση μεταμφιεσμένη σε ευκολία. Αφαιρεί επίσης τη μόνη απόδειξη που θα είχατε αργότερα ότι το αρχείο πήγε εκεί που θέλατε.
Απαντήστε στην πρόκληση που στέλνει ο διακομιστής
Η τεκμηρίωση SFTP του έργου περιγράφει υποστήριξη πρόκλησης-απόκρισης για κωδικούς μίας χρήσης: αρχική προτροπή σύνδεσης, μετά δεύτερη προτροπή για τον κωδικό, όπως ζητά ο διακομιστής. Η ροή ανήκει στη διαμόρφωση του διακομιστή, και ένας πελάτης δεν μπορεί να προσθέσει επιβολή δύο παραγόντων από την πλευρά του διακομιστή αποθηκεύοντας άλλη τιμή στο πεδίο κωδικού του.
Έτσι ο σελιδοδείκτης πρέπει να κρατά τα συνηθισμένα διαπιστευτήρια λογαριασμού, και ο κωδικός να πληκτρολογείται όταν εμφανιστεί η προτροπή. Η αποθήκευση ενός μεταβαλλόμενου κωδικού ως μόνιμου κωδικού πρόσβασης παράγει σελιδοδείκτη που δουλεύει μία φορά και μετά αποτυγχάνει με τρόπο που μοιάζει λάθος κωδικός. Η τοποθέτηση του κωδικού στο πεδίο διαπιστευτηρίων του VPN αποτυγχάνει διαφορετικά: η πύλη τον απορρίπτει, και η σήραγγα δεν σηκώνεται ποτέ. Δύο προτροπές, δύο σημεία, και η εναλλαγή τους χαλάει και τα δύο.
Η αυτόματη προσάρτηση δεν μπορεί να πατήσει κουμπί
Αν ο σελιδοδείκτης επανασυνδέεται στο παρασκήνιο, μια διαδραστική πρόκληση δεν έχει κανέναν να την απαντήσει. Η προσάρτηση ξαναπροσπαθεί, ο διακομιστής ξαναρωτά, και το αρχείο καταγραφής γεμίζει με προσπάθειες που δεν μπορούν να πετύχουν. Αυτό είναι το ειλικρινές αποτέλεσμα μιας πολιτικής που απαιτεί άνθρωπο.
Σχεδιάστε την αλληλεπίδραση: συνδέστε τη σήραγγα και τον σελιδοδείκτη ενώ είστε παρών, και μετά αντιμετωπίστε τις αυτόματες επανασυνδέσεις ως καλύτερη προσπάθεια. Αν η ροή εργασίας χρειάζεται πραγματικά πρόσβαση χωρίς επιτήρηση, ο ιδιοκτήτης του διακομιστή πρέπει να εγκρίνει διαφορετική ρύθμιση ελέγχου ταυτότητας, που είναι αλλαγή πολιτικής και όχι ρύθμιση σελιδοδείκτη.
Η προσάρτηση δεν είναι άδεια
Ένας προσαρτημένος τόμος αποδεικνύει ότι μια συνεδρία επαληθεύτηκε. Δεν αποδεικνύει ότι ο λογαριασμός μπορεί να γράφει παντού σε αυτόν τον διακομιστή. Ελέγξτε τον φάκελο που προορίζεται, δοκιμάστε τη λειτουργία που πραγματικά χρειάζεστε, και επιβεβαιώστε το αποτέλεσμα από την πλευρά του διακομιστή όταν η απάντηση μετράει. Η πλαϊνή στήλη του Finder δείχνει έναν τόμο· δεν λέει τίποτα για τα δικαιώματα πίσω του.
Για άλλο πρωτόκολλο, χρησιμοποιήστε τη τεκμηριωμένη μέθοδο ελέγχου ταυτότητας εκείνου του παρόχου αντί να αντιγράψετε αυτή την ακολουθία. Μια σύνδεση στο cloud και μια πρόκληση SSH μπορούν να φαίνονται ίδιες στην πλαϊνή στήλη και να συμπεριφέρονται εντελώς διαφορετικά από κάτω.