LinuxForum.Fans
Тема

Керберос интеграция в AD, ошибка при логине и не резолвится контроллер

Автор: Kirill_Sludnov 7 сообщений 2548 просмотров
#378970

Здравствуйте, я только учусь и по ходу возникают различные ошибку, поэтому прошу вашей помощи)
при логине:

text
kinit мой_логин@мой_домен 

ошибка:

text
Cannot contact any KDC for realm 'CHELGIPROMEZ.LOCAL' while getting initial credentials. 

Сам конфиг:
Код:

text
[logging] 
 default = FILE:/var/log/krb5libs.log 
 kdc = FILE:/var/log/krb5kdc.log 
 admin_server = FILE:/var/log/kadmind.log 

[libdefaults] default_realm = МОЙ_ДОМЕН dns_lookup_realm = false dns_lookup_kdc = false ticket_lifetime = 24h renew_lifetime = 7d forwardable = true

[realms] МОЙ_ДОМЕН = { kdc = adsrv.мой_домен admin_server = adsrv.мой_домен }

FNAL.GOV = { kdc = krb-fnal-1.fnal.gov:88 kdc = krb-fnal-2.fnal.gov:88 kdc = krb-fnal-3.fnal.gov:88 kdc = krb-fnal-4.fnal.gov:88 kdc = krb-fnal-5.fnal.gov:88 kdc = krb-fnal-6.fnal.gov:88 admin_server = krb-fnal-admin.fnal.gov master_kdc = krb-fnal-admin.fnal.gov:88 default_domain = fnal.gov }

WIN.FNAL.GOV = { kdc = littlebird.win.fnal.gov:88 kdc = bigbird.win.fnal.gov:88 default_domain = fnal.gov }

[domain_realm] .мой_домен = МОЙ_ДОМЕН мой_домен = МОЙ_ДОМЕН

.fnal.gov = FNAL.GOV .dhcp.fnal.gov = FNAL.GOV

сами логи:
Код:

text
default = FILE:/var/log/krb5libs.log 
 kdc = FILE:/var/log/krb5kdc.log 
 admin_server = FILE:/var/log/kadmind.log

не пишутся, даже фаилы с ними не создаются

нашел проблему, пингуется все кроме dc00 -это контроллер домена. В ДНС на сквиде, стоит контроллер. Подскажите как решить)?
не пингуется по dns имени, по ип пинг есть, следовательно проблема в днс.
в /etc/resolv.conf стоит гугловский DNS и 2 наших днс которые на контроллере домена. Если убрать гугловский ДНС внешка недоступна по днс именам, только по ип адресации

#378990

уже 2 день танцую с бубном и призываю зевса

#379267

FireWall отключен?

Запусти на сервере и клиенте команду
tcpdump udp port 88

Что видно в результате?

#379679
ane написал:
FireWall отключен?

Запусти на сервере и клиенте команду
tcpdump udp port 88

Что видно в результате?

squid сказал, что не знает такой команды, клиент тоже :С

#379697

А при чём тут

"Kirill.Sludnov" написал:
squid сказал
????
#380512

Кто нибудь решил проблему с такой ошибкой ?

text

squid_kerb_auth: WARNING: received type 1 NTLM token
2014/05/20 13:53:03| authenticateNegotiateHandleReply: Error validating user via Negotiate. Error returned 'BH received type 1 NTLM token'

Уже и на работе и дома пересмотрев кучу инфы и видеуроков в частности http://www.youtube.com/watch?v=JOvgggsJylg делал все то же самое но только на 2003 R2 , нихрена одно и то же почему в кините все ок, такое чувство что он не вдиит принципала и пытается по нтлму како долбиться я уже хрен знает

#380821

И так все таки надеясь на что то лучшее попытаюсь изложить суть своего горя. Что имею:
Настройки squi.conf

text
auth_param negotiate program /usr/lib/squid3/squid_kerb_auth -s HTTP/squid1.office.local
auth_param negotiate children 10
auth_param negotiate keep_alive on

acl inetuser proxy_auth REQUIRED http_access allow inetuser

http_port 3128

Настройки krb5.conf

text
 [libdefaults]

default_realm = OFFICE.LOCAL default_keytab_name = /etc/krb5.keytab dns_lookup = true dns_lookup_realm = true ticket_lifetime = 24h clockskew = 300

default_tgs_enctypes = rc4-hmac des-cbc-crc des-cbc-md5 default_tkt_enctypes = rc4-hmac des-cbc-crc des-cbc-md5 permitted_enctypes = rc4-hmac des-cbc-crc des-cbc-md5

[realms] OFFICE.LOCAL = { kdc = 192.168.0.13 admin_server = 192.168.0.13 default_domain = office.local kpasswd_server = 192.168.0.13 }

[domain_realm] .office.local = OFFICE.LOCAL office.local = OFFICE.LOCAL

Что нам выдает kinit -V -k -t /etc/squid3/squid.keytab HTTP/squid1.office.local@OFFICE.LOCAL

text
Using default cache: /tmp/krb5cc_0
Using principal: HTTP/squid1.office.local@OFFICE.LOCAL
Using keytab: /etc/squid3/squid.keytab
Authenticated to Kerberos v5

Далее klist

text
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: HTTP/squid1.office.local@OFFICE.LOCAL

Valid starting Expires Service principal 23/05/2014 11:07 23/05/2014 21:07 krbtgt/OFFICE.LOCAL@OFFICE.LOCAL renew until 24/05/2014 11:07

Однако squid упорно не хочет авторизовавыть никого... в логах

text
root@test-squid:/etc# tail -f /var/log/squid3/cache.log
2014/05/23 11:10:32| Max Swap size: 0 KB
2014/05/23 11:10:32| Using Least Load store dir selection
2014/05/23 11:10:32| Current Directory is /
2014/05/23 11:10:32| Loaded Icons.
2014/05/23 11:10:32| Accepting  HTTP connections at [::]:3128, FD 34.
2014/05/23 11:10:32| HTCP Disabled.
2014/05/23 11:10:32| Squid plugin modules loaded: 0
2014/05/23 11:10:32| Adaptation support is off.
2014/05/23 11:10:32| Ready to serve requests.
2014/05/23 11:10:33| storeLateRelease: released 0 objects
2014/05/23 11:11:04| authenticateNegotiateHandleReply: Error validating user via Negotiate. Error returned 'BH received type 1 NTLM token'
text
root@test-squid:/etc# tail -f /var/log/squid3/access.log
1400828051.232      0 192.168.0.133 TCP_DENIED/407 3766 GET http://ya.ru/favicon.ico - NONE/- text/html
1400828051.234      0 192.168.0.133 TCP_DENIED/407 3869 GET http://ya.ru/favicon.ico - NONE/- text/html
1400828055.294      0 192.168.0.133 TCP_DENIED/407 3936 GET http://mail.ru/ - NONE/- text/html
1400828055.328      1 192.168.0.133 TCP_DENIED/407 4039 GET http://mail.ru/ - NONE/- text/html
1400828085.664      0 192.168.0.133 TCP_DENIED/407 3984 GET http://www.squid-cache.org/Artwork/SN.png - NONE/- text/html
1400828085.668      0 192.168.0.133 TCP_DENIED/407 4087 GET http://www.squid-cache.org/Artwork/SN.png - NONE/- text/html
1400828086.296      0 192.168.0.133 TCP_DENIED/407 3725 GET http://mail.ru/favicon.ico - NONE/- text/html
1400828086.298      0 192.168.0.133 TCP_DENIED/407 3828 GET http://mail.ru/favicon.ico - NONE/- text/html
1400829064.096      0 192.168.0.133 TCP_DENIED/407 3862 GET http://mail.ru/ - NONE/- text/html
1400829064.101      0 192.168.0.133 TCP_DENIED/407 3965 GET http://mail.ru/ - NONE/- text/html

Я так понимаю он почему то упорно получает NTLM тикет, но мне непонятно почему. Зашел в тупик помогите у кого получилось все таки подруждить...

Войдите или зарегистрируйтесь, чтобы ответить.