Mountain Duck SFTP: den andre pålogginga etter VPN
Gatewayen og filserveren autentiserer ulike ting. Bruk vertsnamnet til SFTP-administratoren, svar på førespurnaden og hald på vertsnøkkelkontrollen.
VPN koplar til, menylinja viser ein tunnel, og Mountain Duck ber likevel om pålogging. Så ber han om ein kode. Ingenting er øydelagt: to ulike system autentiserer deg, og det andre har aldri høyrt om det første. MFA-en til VPN beviser noko overfor gatewayen. SFTP-serveren krev sitt eige bevis, mot si eiga konto.
To førespurnader, to system
Gatewayen og filserveren er skilde policydomene. Dei deler kanskje ei mappe, eller dei har kanskje ingenting felles utanom personen som brukar dei. Å senda ein eingongskode på VPN opnar ikkje ein økt på SFTP-verten, og SFTP-verten kan ikkje vita om du brukte ein tunnel i det heile. Kvart system trur det er det einaste som spør.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Handter dei tre som skilde radar i notata dine. Når ein feilar, fortel rada deg kva konsoll du skal opna, og det er mesteparten av arbeidet.
Bruk adressa til SFTP-administratoren
Eit bokmerke treng vertsnamnet og porten filtentesta faktisk lyttar på, som ikkje nødvendigvis er adressa til VPN-serveren. Spør administratoren som driv SFTP-tenesta, og bruk same vertsnamn som andre klientar.
Hald kontrollen av serveridentitet intakt. Mountain Duck og Cyberduck viser vertsnøkkelen ved første tilkopling, og å samanlikna han med ein verdi administratoren oppgir gjennom ein annan kanal er trinnet som hindrar ein feil server i å få legitimasjonen din. Å slå av den kontrollen for at eit bokmerke skal kopla til er eit permanent vedtak forkledd som bry. Det fjernar òg det einaste beviset du seinare ville hatt for at fila hamna der du meinte.
Svar på utfordringa serveren sender
SFTP-dokumentasjonen til prosjektet skildrar støtte for utfordring-respons for eingongskode: ein innleiande påloggingsførespurnad, deretter ein andre førespurnad for koden, slik serveren ber om. Flyten høyrer til konfigurasjonen av serveren, og ein klient kan ikkje leggja til tofaktorstvang på serversida ved å lagra ein annan verdi i passordfeltet.
Så bokmerket bør innehalda den vanlege kontolegitimasjonen, og koden bør skrivast når førespurnaden dukkar opp. Å lagra ein skiftande kode som permanent passord gjev eit bokmerke som verkar éin gong, og deretter feilar på ein måte som ser ut som eit feil passord. Å leggja koden i legitimasjonsfeltet til VPN feilar annleis: gatewayen avviser han, og tunnelen kjem aldri opp. To førespurnader, to stader, og å byta dei øydelegg begge.
Automatisk montering kan ikkje trykkja på ein knapp
Viss bokmerket koplar til på nytt i bakgrunnen, har ei interaktiv utfordring ingen til å svara. Monteringa prøver igjen, serveren spør igjen, og loggen fyller seg med forsøk som ikkje kan lukkast. Det er det ærlege resultatet av ein politikk som krev ein person.
Planlegg samhandlinga: kopla til tunnelen og bokmerket medan du er til stades, og handsam seinare automatiske gjenoppkoplingar som beste innsats. Viss arbeidsflyten verkeleg treng uovervaka tilgang, må servereigaren godkjenna ei anna autentiseringsordning, noko som er ei policyendring og ikkje ei bokmerkeinnstilling.
Montering er ikkje løyve
Eit montert volum beviser at ei økt vart autentisert. Det beviser ikkje at kontoen kan skriva overalt på den serveren. Sjekk den tiltenkte mappa, prøv operasjonen du faktisk treng, og stadfest resultatet frå serversida når svaret betyr noko. Finder-sidepanelet viser eit volum; det seier ingenting om løyva bak.
For ein annan protokoll, bruk den dokumenterte autentiseringsmetoden til den leverandøren i staden for å kopiera denne sekvensen. Ei skyinnlogging og ei SSH-utfordring kan sjå identiske ut i sidepanelet og oppføra seg heilt annleis under.