Mountain Duck SFTP: друго пријављивање после VPN-а
Мрежни пролаз и сервер датотека проверавају различите ствари. Користите име домаћина администратора SFTP-а, одговорите на његов захтев и задржите проверу кључа домаћина.
VPN се повезује, трака менија приказује тунел, а Mountain Duck ипак тражи пријаву. Затим тражи код. Ништа није покварено: два различита система проверавају ваш идентитет, а други никада није чуо за први. MFA на VPN-у доказује нешто пролазу. Сервер SFTP тражи сопствени доказ, према сопственом налогу.
Два захтева, два система
Пролаз и сервер датотека су одвојени политички домени. Могу да деле директоријум или да немају ништа заједничко осим особе која их користи. Прослеђивање једнократног кода на VPN-у не ствара сесију на домаћину SFTP-а, а домаћин SFTP-а не може да зна да ли сте уопште користили тунел. Сваки систем верује да је једини који пита.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Третирајте та три као одвојене редове у својим белешкама. Када један не успе, ред вам каже коју конзолу да отворите, и то је већи део посла.
Користите адресу администратора SFTP-а
Обележивач захтева име домаћина и порт на којима услуга датотека заиста слуша, што није нужно адреса VPN сервера. Питајте администратора који води услугу SFTP-а и користите исто име домаћина као други клијенти.
Сачувајте проверу идентитета сервера нетакнутом. Mountain Duck и Cyberduck приказују кључ домаћина при првом повезивању, а поређење са вредношћу коју администратор даје кроз други канал јесте корак који спречава погрешан сервер да прими ваше акредитиве. Искључивање те провере да би се обележивач повезао је трајна одлука маскирана као погодност. Она уклања и једини доказ који бисте касније имали да је датотека отишла тамо где сте намеравали.
Одговорите на изазов који шаље сервер
Документација пројекта за SFTP описује подршку за изазов-одговор за једнократне кодове: почетни захтев за пријаву, затим други захтев за код, како сервер затражи. Тај ток припада конфигурацији сервера, а клијент не може да дода принуду двофакторске провере на страни сервера тако што ће сачувати другу вредност у пољу лозинке.
Зато обележивач треба да чува уобичајене акредитиве налога, а код треба унети када се захтев појави. Чување промењивог кода као трајне лозинке даје обележивач који ради једном, а затим не успе на начин који изгледа као погрешна лозинка. Стављање кода у поље акредитива VPN-а не успева другачије: пролаз га одбија, и тунел се никада не подиже. Два захтева, два места, и њихова замена квари оба.
Аутоматско монтирање не може да притисне дугме
Ако се обележивач поново повеже у позадини, интерактивни изазов нема кога да пита. Монтирање поново покушава, сервер поново пита, и дневник се пуни покушајима који не могу да успеју. То је искрен резултат политике која захтева особу.
Планирајте интеракцију: повежите тунел и обележивач док сте присутни, а каснија аутоматска поновна повезивања третирајте као најбољи покушај. Ако радни ток заиста захтева приступ без надзора, власник сервера мора да одобри други распоред аутентификације, што је промена политике, а не подешавање обележивача.
Монтирање није дозвола
Монтирани том доказује да је сесија аутентификована. Не доказује да налог сме да пише свуда на том серверу. Проверите предвиђену фасциклу, испробајте операцију која вам заиста треба, и када је одговор важан, потврдите резултат са стране сервера. Бочна трака Finder-а приказује том; она не говори ништа о дозволама иза њега.
За други протокол користите документовани метод аутентификације тог добављача уместо да копирате овај редослед. Пријава у облак и SSH изазов могу изгледати исто у бочној траци, а понашати се потпуно другачије испод површине.