Mountain Duck SFTP: la deuxième connexion après le VPN
La passerelle et le serveur de fichiers authentifient des choses différentes. Utilisez le nom d’hôte de l’administrateur SFTP, répondez à son invite et conservez la vérification de la clé d’hôte.
Le VPN se connecte, la barre de menus affiche un tunnel, et Mountain Duck demande quand même une connexion. Puis il demande un code. Rien n’est cassé : deux systèmes différents vous authentifient, et le second n’a jamais entendu parler du premier. Le MFA du VPN prouve quelque chose à la passerelle. Le serveur SFTP exige sa propre preuve, face à son propre compte.
Deux invites, deux systèmes
La passerelle et le serveur de fichiers sont des domaines de politique distincts. Ils peuvent partager un répertoire, ou n’avoir rien en commun hormis la personne qui les utilise. Faire passer un code à usage unique sur le VPN ne crée pas de session sur l’hôte SFTP, et l’hôte SFTP ne peut pas savoir si vous avez utilisé un tunnel. Chaque système croit être le seul à demander.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Traitez les trois comme des lignes distinctes dans vos notes. Quand l’une échoue, la ligne vous indique quelle console ouvrir, et c’est l’essentiel du travail.
Utilisez l’adresse de l’administrateur SFTP
Un signet a besoin du nom d’hôte et du port sur lesquels le service de fichiers écoute réellement, ce qui n’est pas forcément l’adresse du serveur VPN. Demandez à l’administrateur qui exploite le service SFTP, et utilisez le même nom d’hôte que les autres clients.
Laissez intacte la vérification de l’identité du serveur. Mountain Duck et Cyberduck affichent la clé d’hôte à la première connexion, et la comparer à une valeur que l’administrateur fournit par un autre canal est l’étape qui empêche un mauvais serveur de recevoir vos identifiants. Désactiver cette vérification pour qu’un signet se connecte est une décision permanente déguisée en commodité. Elle supprime aussi la seule preuve que vous auriez ensuite que le fichier est allé là où vous le vouliez.
Répondez au défi que le serveur envoie
La documentation SFTP du projet décrit la prise en charge du défi-réponse pour les codes à usage unique : une première invite de connexion, puis une seconde invite pour le code, comme le serveur le demande. Le flux relève de la configuration du serveur, et un client ne peut pas ajouter une contrainte de double facteur côté serveur en enregistrant une autre valeur dans son champ de mot de passe.
Le signet doit donc contenir l’identifiant ordinaire du compte, et le code doit être saisi lorsque l’invite apparaît. Enregistrer un code changeant comme mot de passe permanent produit un signet qui fonctionne une fois, puis échoue d’une façon qui ressemble à un mauvais mot de passe. Mettre le code dans le champ d’identifiants du VPN échoue autrement : la passerelle le rejette, et le tunnel ne monte jamais. Deux invites, deux endroits, et les intervertir casse les deux.
Le montage automatique ne peut pas appuyer sur un bouton
Si le signet se reconnecte en arrière-plan, un défi interactif n’a personne pour y répondre. Le montage réessaie, le serveur redemande, et le journal se remplit de tentatives qui ne peuvent pas aboutir. C’est le résultat honnête d’une politique qui exige une personne.
Planifiez l’interaction : connectez le tunnel et le signet en votre présence, puis traitez les reconnexions automatiques ultérieures comme du meilleur effort. Si le flux de travail a réellement besoin d’un accès sans surveillance, le propriétaire du serveur doit approuver une autre disposition d’authentification, ce qui est un changement de politique et non un réglage du signet.
Un montage n’est pas une autorisation
Un volume monté prouve qu’une session a été authentifiée. Il ne prouve pas que le compte peut écrire partout sur ce serveur. Vérifiez le dossier prévu, essayez l’opération dont vous avez réellement besoin, et confirmez le résultat côté serveur lorsque la réponse compte. La barre latérale du Finder affiche un volume ; elle ne dit rien des autorisations derrière.
Pour un autre protocole, utilisez la méthode d’authentification documentée de ce fournisseur plutôt que de copier cette séquence. Une connexion au cloud et un défi SSH peuvent sembler identiques dans la barre latérale et se comporter tout autrement en dessous.