Mountain Duck SFTP: el segundo inicio de sesión tras la VPN

La VPN se conecta, la barra de menús muestra un túnel y Mountain Duck sigue pidiendo un inicio de sesión. Luego pide un código. No hay nada roto: dos sistemas distintos lo autentican y el segundo nunca ha oído hablar del primero. El MFA de la VPN demuestra algo a la pasarela. El servidor SFTP pide su propia prueba, contra su propia cuenta.

Dos solicitudes, dos sistemas

La pasarela y el servidor de archivos son dominios de política separados. Pueden compartir un directorio o no tener nada en común salvo la persona que los usa. Pasar un código de un solo uso en la VPN no crea una sesión en el host SFTP, y el host SFTP no puede saber si usó un túnel. Cada sistema cree que es el único que pregunta.

Trate los tres como filas separadas en sus notas. Cuando uno falla, la fila le dice qué consola abrir, y eso es la mayor parte del trabajo.

Use la dirección del administrador de SFTP

Un marcador necesita el nombre de host y el puerto en los que el servicio de archivos realmente escucha, que no es necesariamente la dirección del servidor VPN. Pregunte al administrador que gestiona el servicio SFTP y use el mismo nombre de host que otros clientes.

Mantenga intacta la comprobación de identidad del servidor. Mountain Duck y Cyberduck muestran la clave de host en la primera conexión, y compararla con un valor que el administrador facilita por otro canal es el paso que impide que un servidor equivocado reciba sus credenciales. Desactivar esa comprobación para que un marcador se conecte es una decisión permanente disfrazada de comodidad. También elimina la única prueba que tendría después de que el archivo fue donde quería.

Responda al desafío que envía el servidor

La documentación SFTP del proyecto describe la compatibilidad con desafío-respuesta para códigos de un solo uso: una solicitud inicial de inicio de sesión y luego una segunda solicitud del código, como la pida el servidor. El flujo pertenece a la configuración del servidor, y un cliente no puede añadir la exigencia de doble factor del lado del servidor guardando otro valor en su campo de contraseña.

Así que el marcador debe guardar la credencial normal de la cuenta, y el código debe escribirse cuando aparezca la solicitud. Guardar un código cambiante como contraseña permanente produce un marcador que funciona una vez y luego falla de una forma que parece una contraseña incorrecta. Poner el código en el campo de credenciales de la VPN falla de otra manera: la pasarela lo rechaza y el túnel nunca se levanta. Dos solicitudes, dos lugares, e intercambiarlos rompe ambos.

El montaje automático no puede pulsar un botón

Si el marcador se reconecta en segundo plano, un desafío interactivo no tiene a nadie que lo responda. El montaje reintenta, el servidor vuelve a preguntar y el registro se llena de intentos que no pueden tener éxito. Ese es el resultado honesto de una política que exige a una persona.

Planifique la interacción: conecte el túnel y el marcador mientras está presente, y luego trate las reconexiones automáticas posteriores como mejor esfuerzo. Si el flujo de trabajo necesita de verdad acceso sin supervisión, el propietario del servidor debe aprobar otra disposición de autenticación, que es un cambio de política y no un ajuste del marcador.

Un montaje no es un permiso

Un volumen montado demuestra que una sesión se autenticó. No demuestra que la cuenta pueda escribir en todo ese servidor. Compruebe la carpeta prevista, pruebe la operación que realmente necesita y confirme el resultado desde el lado del servidor cuando la respuesta importe. La barra lateral del Finder muestra un volumen; no dice nada sobre los permisos que hay detrás.

Para otro protocolo, use el método de autenticación documentado de ese proveedor en lugar de copiar esta secuencia. Un inicio de sesión en la nube y un desafío SSH pueden parecer idénticos en la barra lateral y comportarse de forma totalmente distinta por dentro.