Mountain Duck SFTP: a második bejelentkezés a VPN után

A VPN csatlakozik, a menüsor alagutat mutat, és a Mountain Duck ettől még bejelentkezést kér. Aztán kódot kér. Semmi sem romlott el: két különböző rendszer azonosítja Önt, és a második soha nem hallott az elsőről. A VPN MFA-ja bizonyít valamit az átjárónak. Az SFTP-szerver a saját bizonyítékát kéri, a saját fiókjával szemben.

Két kérés, két rendszer

Az átjáró és a fájlszerver külön szabályzati tartományok. Lehet, hogy osztoznak egy könyvtáron, vagy semmi közös nincs bennük a használó személyén kívül. Az egyszeri kód átadása a VPN-nél nem hoz létre munkamenetet az SFTP-hosztnál, és az SFTP-hoszt nem tudja megállapítani, hogy használt-e egyáltalán alagutat. Minden rendszer azt hiszi, hogy csak ő kérdez.

Kezelje a hármat külön sorokként a jegyzeteiben. Ha az egyik meghiúsul, a sor megmondja, melyik konzolt nyissa meg, és a munka nagy része ez.

Használja az SFTP-adminisztrátor címét

Egy könyvjelzőnek arra a hosztnévre és portra van szüksége, amelyen a fájlszolgáltatás valóban figyel, és ez nem feltétlenül a VPN-szerver címe. Kérdezze meg az SFTP-szolgáltatást üzemeltető adminisztrátort, és ugyanazt a hosztnevet használja, mint a többi kliens.

Tartsa érintetlenül a szerveridentitás ellenőrzését. A Mountain Duck és a Cyberduck az első kapcsolatnál megmutatja a hosztkulcsot, és összevetni egy olyan értékkel, amelyet az adminisztrátor más csatornán ad meg, az a lépés, amely megakadályozza, hogy egy rossz szerver megkapja a hitelesítő adatait. Ennek az ellenőrzésnek a kikapcsolása, hogy egy könyvjelző csatlakozhasson, állandó döntés kényelemnek álcázva. Eltávolítja az egyetlen bizonyítékot is, amely később megmutatná, hogy a fájl oda került, ahová szánta.

Válaszoljon a szerver kihívására

A projekt SFTP-dokumentációja ismerteti a kihívás-válasz támogatást egyszeri kódokhoz: egy kezdeti bejelentkezési kérés, majd egy második kérés a kódért, ahogy a szerver kéri. A folyamat a szerver konfigurációjához tartozik, és egy kliens nem tud szerveroldali kétfaktoros kényszert hozzáadni azzal, hogy más értéket tárol a jelszómezőjében.

A könyvjelzőnek tehát a szokásos fiók-hitelesítő adatot kell tartalmaznia, a kódot pedig akkor kell beírni, amikor a kérés megjelenik. Egy változó kód állandó jelszóként tárolása olyan könyvjelzőt ad, amely egyszer működik, aztán rossz jelszóra hasonlító módon meghiúsul. A kód VPN-hitelesítő mezőbe helyezése másképp hiúsul meg: az átjáró elutasítja, és az alagút soha nem jön létre. Két kérés, két hely, és felcserélésük mindkettőt elrontja.

Az automatikus csatolás nem tud gombot nyomni

Ha a könyvjelző a háttérben újra csatlakozik, az interaktív kihívásnak nincs, aki válaszoljon. A csatolás újrapróbálja, a szerver újra kérdez, és a napló megtelik olyan kísérletekkel, amelyek nem sikerülhetnek. Ez a személyt igénylő szabályzat őszinte eredménye.

Tervezze meg az interakciót: csatlakoztassa az alagutat és a könyvjelzőt, amíg jelen van, a későbbi automatikus újracsatlakozásokat pedig legjobb igyekezetként kezelje. Ha a munkafolyamatnak valóban felügyelet nélküli hozzáférésre van szüksége, a szerver tulajdonosának más hitelesítési elrendezést kell jóváhagynia, ami szabályzatváltozás, nem könyvjelző-beállítás.

A csatolás nem engedély

Egy csatolt kötet bizonyítja, hogy egy munkamenet hitelesítve lett. Nem bizonyítja, hogy a fiók mindenhová írhat azon a szerveren. Ellenőrizze a szánt mappát, próbálja ki a valóban szükséges műveletet, és amikor a válasz számít, erősítse meg az eredményt a szerver oldaláról. A Finder oldalsávja kötetet mutat; semmit nem mond a mögötte lévő engedélyekről.

Más protokoll esetén használja az adott szolgáltató dokumentált hitelesítési módszerét ahelyett, hogy ezt a sorrendet másolná. Egy felhőbelépés és egy SSH-kihívás az oldalsávban egyformának tűnhet, és alatta teljesen másképp viselkedhet.