Mountain Duck SFTP: druhé prihlásenie po VPN
Brána a súborový server overujú rôzne veci. Použite názov hostiteľa od správcu SFTP, odpovedzte na jeho výzvu a ponechajte kontrolu kľúča hostiteľa.
VPN sa pripojí, panel ponuky zobrazuje tunel a Mountain Duck napriek tomu žiada prihlásenie. Potom žiada kód. Nič nie je pokazené: overujú vás dva rôzne systémy a ten druhý o prvom nikdy nepočul. MFA na VPN niečo dokazuje bráne. Server SFTP žiada vlastný dôkaz, voči vlastnému účtu.
Dve výzvy, dva systémy
Brána a súborový server sú oddelené domény zásad. Môžu zdieľať adresár alebo nemusia mať nič spoločné okrem človeka, ktorý ich používa. Odovzdanie jednorazového kódu na VPN nevytvorí reláciu na hostiteľovi SFTP a hostiteľ SFTP nemôže zistiť, či ste tunel vôbec použili. Každý systém verí, že sa pýta iba on.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Berte tieto tri ako samostatné riadky vo svojich poznámkach. Keď jeden zlyhá, riadok vám povie, ktorú konzolu otvoriť, a to je väčšina práce.
Použite adresu správcu SFTP
Záložka potrebuje názov hostiteľa a port, na ktorých súborová služba skutočne počúva, čo nemusí byť adresa servera VPN. Spýtajte sa správcu, ktorý prevádzkuje službu SFTP, a použite rovnaký názov hostiteľa ako ostatní klienti.
Ponechajte kontrolu identity servera nedotknutú. Mountain Duck a Cyberduck pri prvom pripojení zobrazia kľúč hostiteľa a porovnanie s hodnotou, ktorú správca poskytne iným kanálom, je krok, ktorý zabráni nesprávnemu serveru prevziať vaše prihlasovacie údaje. Vypnutie tejto kontroly, aby sa záložka pripojila, je trvalé rozhodnutie prezlečené za pohodlie. Odoberá aj jediný dôkaz, ktorý by ste neskôr mali, že súbor šiel tam, kam ste zamýšľali.
Odpovedzte na výzvu, ktorú server pošle
Dokumentácia projektu k SFTP opisuje podporu výzvy a odpovede pre jednorazové kódy: úvodnú výzvu na prihlásenie a potom druhú výzvu ku kódu, ako si ju server vyžiada. Tento tok patrí ku konfigurácii servera a klient nemôže pridať vynútenie dvojfaktorového overenia na strane servera tým, že do poľa hesla uloží inú hodnotu.
Záložka by teda mala uchovávať bežné prihlasovacie údaje účtu a kód sa má zadať, keď sa výzva objaví. Uloženie meniaceho sa kódu ako trvalého hesla vytvorí záložku, ktorá funguje raz a potom zlyhá spôsobom, ktorý vyzerá ako nesprávne heslo. Vloženie kódu do poľa prihlasovacích údajov VPN zlyhá inak: brána ho odmietne a tunel vôbec nevznikne. Dve výzvy, dve miesta a ich zámena pokazí obe.
Automatické pripojenie nevie stlačiť tlačidlo
Ak sa záložka pripája znova na pozadí, interaktívna výzva nemá koho odpovedať. Pripojenie to skúša znova, server sa pýta znova a protokol sa plní pokusmi, ktoré nemôžu uspieť. To je poctivý výsledok zásady, ktorá vyžaduje človeka.
Naplánujte interakciu: pripojte tunel a záložku, kým ste prítomní, a neskoršie automatické opätovné pripojenia berte ako najlepšiu snahu. Ak pracovný postup naozaj potrebuje prístup bez dozoru, vlastník servera musí schváliť iné usporiadanie overovania, čo je zmena zásad, nie nastavenie záložky.
Pripojenie nie je oprávnenie
Pripojený zväzok dokazuje, že relácia bola overená. Nedokazuje, že účet smie zapisovať všade na tom serveri. Skontrolujte zamýšľaný priečinok, vyskúšajte operáciu, ktorú skutočne potrebujete, a keď na odpovedi záleží, potvrďte výsledok zo strany servera. Bočný panel Finderu zobrazuje zväzok; o oprávneniach za ním nehovorí nič.
Pre iný protokol použite dokumentovanú metódu overovania daného poskytovateľa namiesto kopírovania tohto postupu. Prihlásenie do cloudu a výzva SSH môžu v bočnom paneli vyzerať rovnako a pod povrchom sa správať úplne inak.