Mountain Duck SFTP: ההתחברות השנייה אחרי ה-VPN
השער ושרת הקבצים מאמתים דברים שונים. השתמשו בשם המארח של מנהל ה-SFTP, ענו להנחיה שלו ושמרו על בדיקת מפתח המארח.
ה-VPN מתחבר, שורת התפריטים מציגה מנהרה, ו-Mountain Duck עדיין מבקש התחברות. אחר כך הוא מבקש קוד. שום דבר לא שבור: שתי מערכות שונות מאמתות אתכם, והשנייה מעולם לא שמעה על הראשונה. ה-MFA של ה-VPN מוכיח משהו לשער. שרת ה-SFTP דורש הוכחה משלו, מול החשבון שלו.
שתי הנחיות, שתי מערכות
השער ושרת הקבצים הם תחומי מדיניות נפרדים. ייתכן שהם חולקים ספרייה, או שאין ביניהם דבר משותף מלבד האדם שמשתמש בהם. העברת קוד חד-פעמי ב-VPN אינה יוצרת הפעלה על מארח ה-SFTP, ומארח ה-SFTP אינו יכול לדעת אם השתמשתם במנהרה בכלל. כל מערכת מאמינה שהיא היחידה ששואלת.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
התייחסו לשלוש כשורות נפרדות בהערות שלכם. כשאחת נכשלת, השורה אומרת לכם איזו קונסולה לפתוח, וזה רוב העבודה.
השתמשו בכתובת מנהל ה-SFTP
סימנייה צריכה את שם המארח והפורט ששירות הקבצים באמת מאזין עליהם, וזה לא בהכרח הכתובת של שרת ה-VPN. שאלו את המנהל שמפעיל את שירות ה-SFTP, והשתמשו באותו שם מארח שמשתמשים בו לקוחות אחרים.
השאירו את בדיקת זהות השרת שלמה. Mountain Duck ו-Cyberduck מציגים את מפתח המארח בחיבור הראשון, והשוואתו לערך שהמנהל מספק בערוץ אחר היא הצעד שמונע משרת שגוי לקבל את פרטי ההתחברות שלכם. השבתת הבדיקה הזו כדי שסימנייה תתחבר היא החלטה קבועה בתחפושת של נוחות. היא גם מסירה את הראיה היחידה שתהיה לכם אחר כך שהקובץ הגיע לאן שהתכוונתם.
ענו לאתגר שהשרת שולח
התיעוד של הפרויקט ל-SFTP מתאר תמיכה באתגר-תגובה לקודים חד-פעמיים: הנחיית התחברות ראשונית, ואחר כך הנחיה שנייה לקוד, כפי שהשרת מבקש. הזרימה שייכת לתצורת השרת, ולקוח אינו יכול להוסיף אכיפת דו-שלבי בצד השרת על ידי שמירת ערך נוסף בשדה הסיסמה שלו.
לכן הסימנייה צריכה להחזיק את פרטי החשבון הרגילים, ואת הקוד יש להקליד כשהוא מופיע. שמירת קוד משתנה כסיסמה קבועה יוצרת סימנייה שעובדת פעם אחת ואחר כך נכשלת באופן שנראה כמו סיסמה שגויה. הצבת הקוד בשדה פרטי ה-VPN נכשלת אחרת: השער דוחה אותו, והמנהרה לא עולה לעולם. שתי הנחיות, שני מקומות, והחלפה ביניהם שוברת את שניהם.
הרכבה אוטומטית אינה יכולה ללחוץ על כפתור
אם הסימנייה מתחברת מחדש ברקע, לאתגר אינטראקטיבי אין מי שיענה. ההרכבה מנסה שוב, השרת שואל שוב, והיומן מתמלא בניסיונות שלא יכולים להצליח. זו התוצאה הכנה של מדיניות שדורשת אדם.
תכננו את האינטראקציה: חברו את המנהרה והסימנייה כשאתם נוכחים, ואחר כך התייחסו לחיבורים אוטומטיים מאוחרים כמאמץ מיטבי. אם זרימת העבודה באמת צריכה גישה ללא השגחה, בעל השרת חייב לאשר הסדר אימות אחר, וזה שינוי מדיניות ולא הגדרה של סימנייה.
הרכבה אינה הרשאה
כרך מורכב מוכיח שהפעלה אומתה. הוא אינו מוכיח שלחשבון מותר לכתוב בכל מקום בשרת הזה. בדקו את התיקייה המיועדת, נסו את הפעולה שאתם באמת צריכים, ואמתו את התוצאה מצד השרת כשהתשובה חשובה. סרגל הצד של Finder מציג כרך; הוא לא אומר דבר על ההרשאות שמאחוריו.
לפרוטוקול אחר, השתמשו בשיטת האימות המתועדת של אותו ספק במקום להעתיק את הרצף הזה. התחברות לענן ואתגר SSH יכולים להיראות זהים בסרגל הצד ולהתנהג אחרת לגמרי מתחת לפני השטח.