Mountain Duck SFTP: druga prijava po VPN
Prehod in strežnik datotek preverjata različne stvari. Uporabite ime gostitelja skrbnika SFTP, odgovorite na njegov poziv in obdržite preverjanje ključa gostitelja.
VPN se poveže, menijska vrstica pokaže tunel, Mountain Duck pa še vedno zahteva prijavo. Nato zahteva kodo. Nič ni pokvarjeno: dva različna sistema vas preverjata in drugi ni nikoli slišal za prvega. MFA na VPN prehodu nekaj dokaže. Strežnik SFTP zahteva svoj dokaz, proti svojemu računu.
Dva poziva, dva sistema
Prehod in strežnik datotek sta ločeni politični domeni. Morda si delita imenik ali pa nimata nič skupnega razen osebe, ki ju uporablja. Posredovanje enkratne kode na VPN ne ustvari seje na gostitelju SFTP in gostitelj SFTP ne more vedeti, ali ste tunel sploh uporabili. Vsak sistem misli, da je edini, ki sprašuje.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Te tri obravnavajte kot ločene vrstice v svojih zapiskih. Ko ena odpove, vrstica pove, katero konzolo odpreti, in to je večina dela.
Uporabite naslov skrbnika SFTP
Zaznamek potrebuje ime gostitelja in vrata, na katerih storitev datotek dejansko posluša, kar ni nujno naslov strežnika VPN. Vprašajte skrbnika, ki upravlja storitev SFTP, in uporabite isto ime gostitelja kot drugi odjemalci.
Preverjanje identitete strežnika pustite nedotaknjeno. Mountain Duck in Cyberduck pri prvem povezovanju pokažeta ključ gostitelja, primerjava z vrednostjo, ki jo skrbnik posreduje po drugem kanalu, pa je korak, ki prepreči napačnemu strežniku, da bi prejel vaše poverilnice. Izklop tega preverjanja, da bi se zaznamek povezal, je trajna odločitev, preoblečena v udobje. Odstrani tudi edini dokaz, ki bi ga pozneje imeli, da je datoteka šla tja, kamor ste nameravali.
Odgovorite na izziv, ki ga pošlje strežnik
Dokumentacija projekta za SFTP opisuje podporo izziv-odgovor za enkratne kode: začetni poziv za prijavo, nato drugi poziv za kodo, kot zahteva strežnik. Ta tok pripada konfiguraciji strežnika in odjemalec ne more dodati vsiljevanja dveh dejavnikov na strani strežnika tako, da v polje za geslo shrani drugo vrednost.
Zato naj zaznamek hrani običajne poverilnice računa, kodo pa je treba vnesti, ko se poziv pojavi. Shranjevanje spreminjajoče se kode kot trajnega gesla ustvari zaznamek, ki deluje enkrat, nato pa odpove tako, da je videti kot napačno geslo. Če kodo vstavite v polje poverilnic VPN, odpove drugače: prehod jo zavrne in tunel se nikoli ne dvigne. Dva poziva, dve mesti, in njuna zamenjava pokvari oba.
Samodejno priklapljanje ne more pritisniti gumba
Če se zaznamek znova poveže v ozadju, interaktivni izziv nima koga vprašati. Priklop poskusi znova, strežnik vpraša znova in dnevnik se napolni s poskusi, ki ne morejo uspeti. To je pošten rezultat politike, ki zahteva človeka.
Načrtujte interakcijo: povežite tunel in zaznamek, ko ste prisotni, poznejše samodejne ponovne povezave pa obravnavajte kot najboljši trud. Če delovni tok res potrebuje dostop brez nadzora, mora lastnik strežnika odobriti drugačno ureditev preverjanja pristnosti, kar je sprememba politike in ne nastavitev zaznamka.
Priklop ni dovoljenje
Priklopljeni nosilec dokazuje, da je bila seja preverjena. Ne dokazuje, da lahko račun piše povsod na tem strežniku. Preverite predvideno mapo, preizkusite postopek, ki ga res potrebujete, in ko je odgovor pomemben, potrdite rezultat na strani strežnika. Stranska vrstica Finderja prikaže nosilec; o pravicah za njim ne pove ničesar.
Za drug protokol uporabite dokumentirano metodo preverjanja pristnosti tega ponudnika, namesto da kopirate to zaporedje. Prijava v oblak in izziv SSH sta lahko v stranski vrstici videti enaka, pod površjem pa se obnašata povsem drugače.