Mountain Duck SFTP: den andra inloggningen efter VPN
Gatewayen och filservern autentiserar olika saker. Använd SFTP-administratörens värdnamn, svara på dess prompt och behåll värdnyckelkontrollen.
VPN ansluter, menyraden visar en tunnel, och Mountain Duck ber ändå om en inloggning. Sedan ber den om en kod. Inget är trasigt: två olika system autentiserar dig, och det andra har aldrig hört talas om det första. VPN:s MFA bevisar något för gatewayen. SFTP-servern kräver sitt eget bevis, mot sitt eget konto.
Två prompter, två system
Gatewayen och filservern är separata policydomäner. De delar kanske en katalog, eller har kanske inget gemensamt utom personen som använder dem. Att skicka en engångskod på VPN skapar ingen session på SFTP-värden, och SFTP-värden kan inte veta om du använde en tunnel överhuvudtaget. Varje system tror att det är det enda som frågar.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Behandla de tre som separata rader i dina anteckningar. När en misslyckas säger raden vilken konsol du ska öppna, och det är det mesta av arbetet.
Använd SFTP-administratörens adress
Ett bokmärke behöver värdnamnet och porten som filtjänsten faktiskt lyssnar på, vilket inte nödvändigtvis är VPN-serverns adress. Fråga administratören som driver SFTP-tjänsten och använd samma värdnamn som andra klienter.
Behåll kontrollen av serverns identitet intakt. Mountain Duck och Cyberduck visar värdnyckeln vid första anslutningen, och att jämföra den med ett värde som administratören tillhandahåller via en annan kanal är steget som hindrar en felaktig server från att ta emot dina uppgifter. Att stänga av den kontrollen för att ett bokmärke ska ansluta är ett permanent beslut förklätt till bekvämlighet. Det tar också bort det enda bevis du senare skulle ha för att filen hamnade där du ville.
Svara på utmaningen som servern skickar
Projektets SFTP-dokumentation beskriver stöd för utmaning-svar för engångskoder: en inledande inloggningsprompt och sedan en andra prompt för koden, som servern begär. Flödet hör till serverns konfiguration, och en klient kan inte lägga till tvåfaktorstvång på serversidan genom att lagra ett annat värde i sitt lösenordsfält.
Så bokmärket bör innehålla den vanliga kontouppgiften, och koden bör skrivas in när prompten visas. Att spara en ändrad kod som permanent lösenord ger ett bokmärke som fungerar en gång och sedan misslyckas på ett sätt som ser ut som ett fel lösenord. Att lägga koden i VPN:s uppgiftsfält misslyckas annorlunda: gatewayen avvisar den, och tunneln kommer aldrig upp. Två prompter, två ställen, och att byta dem förstör båda.
Automatisk montering kan inte trycka på en knapp
Om bokmärket återansluter i bakgrunden har en interaktiv utmaning ingen att svara. Montering försöker igen, servern frågar igen, och loggen fylls av försök som inte kan lyckas. Det är det ärliga resultatet av en policy som kräver en person.
Planera interaktionen: anslut tunneln och bokmärket medan du är närvarande, och behandla senare automatiska återanslutningar som bästa ansträngning. Om arbetsflödet verkligen behöver oövervakad åtkomst måste serverägaren godkänna en annan autentiseringsordning, vilket är en policyändring och inte en bokmärkesinställning.
En montering är inte ett tillstånd
En monterad volym bevisar att en session autentiserades. Det bevisar inte att kontot får skriva överallt på den servern. Kontrollera den avsedda mappen, prova den åtgärd du faktiskt behöver, och bekräfta resultatet från serversidan när svaret spelar roll. Finder-sidofältet visar en volym; det säger inget om behörigheterna bakom.
För ett annat protokoll, använd den dokumenterade autentiseringsmetoden för den leverantören i stället för att kopiera den här sekvensen. En molninloggning och en SSH-utmaning kan se identiska ut i sidofältet och bete sig helt annorlunda under ytan.