Mountain Duck SFTP: lần đăng nhập thứ hai sau VPN
Cổng kết nối và máy chủ tệp xác thực những thứ khác nhau. Dùng tên máy chủ của quản trị viên SFTP, trả lời lời nhắc của nó và giữ nguyên bước kiểm tra khóa máy chủ.
VPN đã kết nối, thanh menu hiện một đường hầm, mà Mountain Duck vẫn yêu cầu đăng nhập. Rồi nó yêu cầu một mã. Không có gì hỏng: hai hệ thống khác nhau đang xác thực bạn, và hệ thống thứ hai chưa từng nghe nói về hệ thống thứ nhất. MFA của VPN chứng minh điều gì đó với cổng kết nối. Máy chủ SFTP yêu cầu bằng chứng riêng, đối chiếu với tài khoản riêng của nó.
Hai lời nhắc, hai hệ thống
Cổng kết nối và máy chủ tệp là hai miền chính sách riêng biệt. Chúng có thể dùng chung một thư mục, hoặc không có gì chung ngoài người sử dụng chúng. Truyền một mã dùng một lần ở VPN không tạo phiên trên máy chủ SFTP, và máy chủ SFTP không thể biết bạn có dùng đường hầm hay không. Mỗi hệ thống tin rằng chỉ mình nó đang hỏi.
| Layer | What it authenticates | Where the account lives |
|---|---|---|
| VPN | The tunnel endpoint | Gateway or identity provider |
| SFTP | The file session | SSH server or its directory |
| Folder access | Read and write within the share | Filesystem permissions |
Hãy coi ba thứ đó là ba dòng riêng trong ghi chú của bạn. Khi một cái hỏng, dòng đó cho biết phải mở bảng điều khiển nào, và đó là phần lớn công việc.
Dùng địa chỉ của quản trị viên SFTP
Một dấu trang cần tên máy chủ và cổng mà dịch vụ tệp thực sự lắng nghe, không nhất thiết là địa chỉ của máy chủ VPN. Hỏi quản trị viên vận hành dịch vụ SFTP và dùng cùng tên máy chủ mà các máy khách khác dùng.
Giữ nguyên bước kiểm tra danh tính máy chủ. Mountain Duck và Cyberduck hiển thị khóa máy chủ ở lần kết nối đầu, và so sánh nó với giá trị mà quản trị viên cung cấp qua kênh khác chính là bước ngăn một máy chủ sai nhận thông tin đăng nhập của bạn. Tắt bước kiểm tra đó để dấu trang kết nối được là một quyết định vĩnh viễn khoác áo tiện lợi. Nó cũng xóa bằng chứng duy nhất mà sau này bạn sẽ có rằng tệp đã đi đúng nơi bạn định.
Trả lời thách thức mà máy chủ gửi
Tài liệu SFTP của dự án mô tả hỗ trợ thách thức-phản hồi cho mã dùng một lần: một lời nhắc đăng nhập ban đầu, rồi lời nhắc thứ hai cho mã, theo yêu cầu của máy chủ. Luồng này thuộc cấu hình của máy chủ, và máy khách không thể thêm việc bắt buộc hai yếu tố phía máy chủ bằng cách lưu một giá trị khác vào ô mật khẩu.
Vì vậy dấu trang nên giữ thông tin đăng nhập thông thường, và mã nên được gõ khi lời nhắc xuất hiện. Lưu một mã thay đổi làm mật khẩu cố định tạo ra dấu trang chỉ chạy một lần, rồi hỏng theo cách trông như mật khẩu sai. Đặt mã vào ô thông tin đăng nhập của VPN lại hỏng theo kiểu khác: cổng kết nối từ chối nó, và đường hầm không bao giờ lên. Hai lời nhắc, hai chỗ, và đổi chỗ chúng sẽ làm hỏng cả hai.
Việc gắn kết tự động không thể bấm nút
Nếu dấu trang tự kết nối lại ở chế độ nền, thách thức tương tác không có ai trả lời. Việc gắn kết thử lại, máy chủ lại hỏi, và nhật ký đầy những lần thử không thể thành công. Đó là kết quả trung thực của một chính sách đòi hỏi con người.
Hãy lên kế hoạch cho tương tác: kết nối đường hầm và dấu trang khi bạn có mặt, rồi coi các lần tự kết nối lại sau đó là nỗ lực tốt nhất. Nếu quy trình thực sự cần truy cập không giám sát, chủ máy chủ phải phê duyệt một cách bố trí xác thực khác, đó là thay đổi chính sách chứ không phải cài đặt dấu trang.
Gắn kết không phải là quyền
Một ổ đĩa đã gắn chứng minh rằng một phiên đã được xác thực. Nó không chứng minh rằng tài khoản có thể ghi ở mọi nơi trên máy chủ đó. Kiểm tra thư mục dự định, thử thao tác bạn thực sự cần, và xác nhận kết quả từ phía máy chủ khi câu trả lời quan trọng. Thanh bên của Finder hiển thị một ổ đĩa; nó không nói gì về các quyền phía sau.
Với giao thức khác, hãy dùng phương thức xác thực được ghi trong tài liệu của nhà cung cấp đó thay vì sao chép trình tự này. Đăng nhập đám mây và thách thức SSH có thể trông giống hệt nhau ở thanh bên và hành xử hoàn toàn khác bên trong.