Mountain Duck SFTP: teine sisselogimine pärast VPN-i
Lüüs ja failiserver kontrollivad erinevaid asju. Kasutage SFTP-administraatori hostinime, vastake selle viipale ja hoidke hostivõtme kontroll alles.
VPN ühendub, menüüriba näitab tunnelit ja Mountain Duck küsib ikka sisselogimist. Seejärel küsib koodi. Midagi pole katki: kaks erinevat süsteemi autendivad teid ja teine pole esimesest kunagi kuulnud. VPN-i MFA tõestab lüüsile midagi. SFTP-server küsib oma tõestust, oma konto vastu.
Kaks viipa, kaks süsteemi
Lüüs ja failiserver on eraldi poliitikadomeenid. Nad võivad jagada kataloogi või neil ei pruugi olla midagi ühist peale inimese, kes neid kasutab. Ühekordse koodi sisestamine VPN-is ei loo SFTP-hostis sessiooni ja SFTP-host ei saa aru, kas kasutasite üldse tunnelit. Iga süsteem usub, et ainult tema küsib.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Käsitlege neid kolme märkmetes eraldi ridadena. Kui üks ebaõnnestub, ütleb rida, millise konsooli avada, ja see on suurem osa tööst.
Kasutage SFTP-administraatori aadressi
Järjehoidja vajab hostinime ja porti, millel failiteenus tegelikult kuulab, mis ei ole tingimata VPN-serveri aadress. Küsige administraatorilt, kes SFTP-teenust haldab, ja kasutage sama hostinime, mida kasutavad teised kliendid.
Hoidke serveri identiteedi kontroll puutumata. Mountain Duck ja Cyberduck näitavad hostivõtit esimesel ühendusel, ja selle võrdlemine väärtusega, mille administraator annab teise kanali kaudu, on samm, mis takistab valel serveril teie volitusi saada. Selle kontrolli väljalülitamine, et järjehoidja ühenduks, on püsiv otsus, mis on maskeeritud mugavuseks. See eemaldab ka ainsa tõendi, mis teil hiljem oleks, et fail läks sinna, kuhu kavatsesite.
Vastake serveri saadetud väljakutsele
Projekti SFTP-dokumentatsioon kirjeldab ühekordsete koodide jaoks väljakutse-vastuse tuge: esialgne sisselogimisviip, seejärel teine viip koodi jaoks, nii nagu server seda nõuab. Voog kuulub serveri konfiguratsiooni juurde ja klient ei saa lisada serveripoolset kahefaktorilist kohustust, salvestades paroolivälja teise väärtuse.
Seega peaks järjehoidja hoidma tavalisi konto volitusi ja kood tuleks sisestada siis, kui viip ilmub. Muutuva koodi salvestamine püsiva paroolina annab järjehoidja, mis töötab korra ja ebaõnnestub seejärel viisil, mis näeb välja nagu vale parool. Koodi panemine VPN-i volituste väljale ebaõnnestub teisiti: lüüs keeldub sellest ja tunnel ei tõuse kunagi. Kaks viipa, kaks kohta, ja nende vahetamine rikub mõlemad.
Automaatne ühendamine ei oska nuppu vajutada
Kui järjehoidja ühendub taustal uuesti, pole interaktiivsel väljakutsel kedagi, kes vastaks. Ühendus proovib uuesti, server küsib jälle ja logi täitub katsetega, mis ei saa õnnestuda. See on aus tulemus poliitikast, mis nõuab inimest.
Planeerige interaktsioon: ühendage tunnel ja järjehoidja siis, kui olete kohal, ja käsitlege hilisemaid automaatseid taasühendusi parima pingutusena. Kui töövoog vajab tõesti järelevalveta juurdepääsu, peab serveri omanik kinnitama teistsuguse autentimiskorralduse, mis on poliitika muutus, mitte järjehoidja seade.
Ühendatud köide ei ole luba
Ühendatud köide tõestab, et sessioon autenditi. See ei tõesta, et kontol on õigus sellele serverile kõikjal kirjutada. Kontrollige kavandatud kausta, proovige toimingut, mida tegelikult vajate, ja kui vastus on oluline, kinnitage tulemus serveri poolelt. Finderi külgriba näitab köidet; see ei ütle midagi selle taga olevate õiguste kohta.
Mõne muu protokolli puhul kasutage selle teenusepakkuja dokumenteeritud autentimismeetodit, selle asemel et seda järjestust kopeerida. Pilve sisselogimine ja SSH väljakutse võivad külgribal välja näha ühesugused ja seesmiselt käituda täiesti erinevalt.