Mountain Duck SFTP: toinen kirjautuminen VPN:n jälkeen
Yhdyskäytävä ja tiedostopalvelin todentavat eri asioita. Käytä SFTP-ylläpitäjän isäntänimeä, vastaa sen kehotteeseen ja pidä isäntäavaimen tarkistus käytössä.
VPN yhdistyy, valikkorivi näyttää tunnelin, ja Mountain Duck kysyy silti kirjautumista. Sitten se kysyy koodia. Mikään ei ole rikki: kaksi eri järjestelmää todentaa sinut, eikä toinen ole koskaan kuullut ensimmäisestä. VPN:n MFA todistaa jotain yhdyskäytävälle. SFTP-palvelin pyytää oman todisteensa omaa tiliään vastaan.
Kaksi kehotetta, kaksi järjestelmää
Yhdyskäytävä ja tiedostopalvelin ovat erillisiä käytäntöalueita. Ne voivat jakaa hakemiston tai niillä ei ehkä ole mitään yhteistä paitsi henkilö, joka niitä käyttää. Kertakäyttökoodin syöttäminen VPN:hen ei luo istuntoa SFTP-isännälle, eikä SFTP-isäntä voi tietää, käytitkö tunnelia lainkaan. Jokainen järjestelmä uskoo olevansa ainoa, joka kysyy.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Käsittele kolmea erillisinä riveinä muistiinpanoissasi. Kun yksi epäonnistuu, rivi kertoo, minkä konsolin avata, ja se on suurin osa työtä.
Käytä SFTP-ylläpitäjän osoitetta
Kirjanmerkki tarvitsee isäntänimen ja portin, jossa tiedostopalvelu todella kuuntelee, eikä se välttämättä ole VPN-palvelimen osoite. Kysy ylläpitäjältä, joka hoitaa SFTP-palvelua, ja käytä samaa isäntänimeä kuin muut asiakkaat.
Pidä palvelimen identiteetin tarkistus koskemattomana. Mountain Duck ja Cyberduck näyttävät isäntäavaimen ensimmäisellä yhteydellä, ja sen vertaaminen arvoon, jonka ylläpitäjä toimittaa toista kanavaa pitkin, on se askel, joka estää väärää palvelinta saamasta tunnuksiasi. Tämän tarkistuksen poistaminen käytöstä, jotta kirjanmerkki yhdistää, on pysyvä päätös, joka on naamioitu mukavuudeksi. Se poistaa myös ainoan todisteen, joka sinulla myöhemmin olisi siitä, että tiedosto meni sinne, minne tarkoitit.
Vastaa palvelimen lähettämään haasteeseen
Hankkeen SFTP-dokumentaatio kuvaa haaste-vastaus-tuen kertakäyttökoodeille: alkuperäinen kirjautumiskehote ja sitten toinen kehote koodille, siten kuin palvelin pyytää. Kulku kuuluu palvelimen asetukseen, eikä asiakas voi lisätä palvelinpuolen kaksivaiheista pakotetta tallentamalla salasanakenttäänsä toisen arvon.
Kirjanmerkin tulee siis sisältää tavallinen tilin tunnus, ja koodi kirjoitetaan, kun kehote ilmestyy. Muuttuvan koodin tallentaminen pysyväksi salasanaksi tuottaa kirjanmerkin, joka toimii kerran ja epäonnistuu sitten tavalla, joka näyttää väärältä salasanan syötöltä. Koodin laittaminen VPN:n tunnuskenttään epäonnistuu toisin: yhdyskäytävä hylkää sen, eikä tunneli nouse koskaan. Kaksi kehotetta, kaksi paikkaa, ja niiden vaihtaminen rikkoo molemmat.
Automaattinen liittäminen ei osaa painaa nappia
Jos kirjanmerkki yhdistää uudelleen taustalla, vuorovaikutteisella haasteella ei ole ketään vastaamassa. Liitos yrittää uudelleen, palvelin kysyy taas, ja loki täyttyy yrityksistä, jotka eivät voi onnistua. Se on rehellinen tulos käytännöstä, joka vaatii ihmisen.
Suunnittele vuorovaikutus: yhdistä tunneli ja kirjanmerkki, kun olet paikalla, ja käsittele myöhemmät automaattiset uudelleenyhdistämiset parhaana yrityksenä. Jos työnkulku todella tarvitsee valvomatonta käyttöä, palvelimen omistajan on hyväksyttävä toisenlainen todentamisjärjestely, mikä on käytännön muutos eikä kirjanmerkin asetus.
Liittäminen ei ole käyttöoikeus
Liitetty taltio todistaa, että istunto on todennettu. Se ei todista, että tilillä on oikeus kirjoittaa kaikkialle sillä palvelimella. Tarkista aiottu kansio, kokeile toimintoa, jota todella tarvitset, ja vahvista tulos palvelimen puolelta, kun vastauksella on merkitystä. Finderin sivupalkki näyttää taltion; se ei kerro mitään sen takana olevista oikeuksista.
Toista protokollaa varten käytä kyseisen tarjoajan dokumentoitua todentamistapaa sen sijaan, että kopioisit tämän järjestyksen. Pilvikirjautuminen ja SSH-haaste voivat näyttää sivupalkissa samalta ja käyttäytyä alla täysin eri tavalla.