Mountain Duck SFTP: de tweede aanmelding na de VPN

De VPN verbindt, de menubalk toont een tunnel, en Mountain Duck vraagt toch om een aanmelding. Dan vraagt het om een code. Niets is kapot: twee verschillende systemen authenticeren u, en het tweede heeft nog nooit van het eerste gehoord. De MFA van de VPN bewijst de gateway iets. De SFTP-server vraagt om zijn eigen bewijs, tegen zijn eigen account.

Twee prompts, twee systemen

De gateway en de fileserver zijn gescheiden beleidsdomeinen. Ze delen misschien een map, of ze hebben niets gemeen behalve de persoon die ze gebruikt. Een eenmalige code bij de VPN doorgeven maakt geen sessie op de SFTP-host, en de SFTP-host kan niet weten of u überhaupt een tunnel gebruikte. Elk systeem denkt dat het de enige is die vraagt.

Behandel de drie als aparte regels in uw notities. Als er één faalt, zegt de regel welke console u moet openen, en dat is het grootste deel van het werk.

Gebruik het adres van de SFTP-beheerder

Een bladwijzer heeft de hostnaam en poort nodig waarop de bestandsdienst echt luistert, wat niet noodzakelijk het adres van de VPN-server is. Vraag het de beheerder die de SFTP-dienst draait, en gebruik dezelfde hostnaam als andere clients.

Houd de controle van de serveridentiteit intact. Mountain Duck en Cyberduck tonen de hostsleutel bij de eerste verbinding, en die vergelijken met een waarde die de beheerder via een ander kanaal aanlevert is de stap die voorkomt dat een verkeerde server uw inloggegevens ontvangt. Die controle uitschakelen zodat een bladwijzer verbindt is een permanente beslissing vermomd als gemak. Het verwijdert ook het enige bewijs dat u later zou hebben dat het bestand terechtkwam waar u het wilde.

Beantwoord de uitdaging van de server

De SFTP-documentatie van het project beschrijft ondersteuning voor challenge-response voor eenmalige codes: een eerste aanmeldingsprompt en daarna een tweede prompt voor de code, zoals de server erom vraagt. De flow hoort bij de configuratie van de server, en een client kan geen tweefactorafdwinging aan de serverkant toevoegen door een andere waarde in zijn wachtwoordveld op te slaan.

De bladwijzer moet dus de gewone accountgegevens bevatten, en de code moet worden getypt wanneer de prompt verschijnt. Een wisselende code als permanent wachtwoord opslaan levert een bladwijzer op die één keer werkt en daarna faalt op een manier die op een verkeerd wachtwoord lijkt. De code in het inloggegevensveld van de VPN zetten faalt anders: de gateway weigert hem, en de tunnel komt nooit op. Twee prompts, twee plaatsen, en ze omwisselen breekt beide.

Automatisch koppelen kan geen knop indrukken

Als de bladwijzer op de achtergrond opnieuw verbindt, heeft een interactieve uitdaging niemand om die te beantwoorden. De mount probeert opnieuw, de server vraagt opnieuw, en het log vult zich met pogingen die niet kunnen slagen. Dat is het eerlijke resultaat van een beleid dat een persoon vereist.

Plan de interactie: verbind de tunnel en de bladwijzer terwijl u aanwezig bent, en behandel latere automatische herverbindingen als beste inspanning. Als de werkstroom echt onbeheerde toegang nodig heeft, moet de eigenaar van de server een andere authenticatieregeling goedkeuren, wat een beleidswijziging is en geen bladwijzerinstelling.

Een koppeling is geen toestemming

Een gekoppeld volume bewijst dat een sessie is geauthenticeerd. Het bewijst niet dat het account overal op die server mag schrijven. Controleer de bedoelde map, probeer de bewerking die u echt nodig heeft, en bevestig het resultaat aan de serverkant wanneer het antwoord ertoe doet. De Finder-zijbalk toont een volume; over de rechten erachter zegt die niets.

Gebruik voor een ander protocol de gedocumenteerde authenticatiemethode van die provider in plaats van deze volgorde te kopiëren. Een cloudaanmelding en een SSH-uitdaging kunnen er in de zijbalk identiek uitzien en zich eronder heel anders gedragen.