Не пускает в домен (samba+kerberos)

Обсуждение настройки и работы сервисов, резервирования, сетевых настроек и вопросов безопасности ОС для молодых и начинающих системных администраторов.

Модераторы: SLEDopit, Модераторы разделов

Tiarasu
Сообщения: 64
ОС: Fedora 11

Не пускает в домен

Сообщение Tiarasu »

Очень хочется попасть в линукс (Fedora) под учеткой из домена.
Есть самба. /etc/samba/smb.conf вот (регистр совпадает):
[smb.conf]

Код:

[global] workgroup = DOMAIN netbios name = Fedoric security = ads # ads server = my.domain.com realm = MY.DOMAIN.COM # realm = DOMAIN password server = * encrypt passwords = yes winbind uid = 10000-20000 winbind gid = 10000-20000 winbind enum users = yes winbind enum groups = yes # winbind separator = \ template homedir = /home/%D/%U template shell = /bin/bash allow trusted domains = no [Svalka] comment = Upload path = /mnt/win_e/Svalka browseable = yes valid users = @DOMAIN\domain_users read only = No create mask = 0666 directory mask = 0777


есть kerberos. Вот /etc/krb5.conf

Код: Выделить всё

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[realms]
 DOMAIN = {
  kdc = MY.DOMAIN.COM:88
  admin_server = MY.DOMAIN.COM:749
  default_domain = DOMAIN
 }

[domain_realm]
 .my.domain.com = MY.DOMAIN.COM
 MY.DOMAIN.COM = MY.DOMAIN.COM


Со всеми этими делами удалось втащить комптьтер в домен (net join отработал. Не сразу, но все же). Однако когда через GUI пытаюсь залогиниться (DOMAIN\user затем password) - unable authenticate user.

Не подскажете, что я делаю не так?
Спасибо сказали:
Аватара пользователя
nacmyx
Сообщения: 101
ОС: centos

Re: Не пускает в домен

Сообщение nacmyx »

Покажи выданные тикеты. Попробуй посмотреть в логи. Обычно делаю так - стопаю все с чем связано, очищаю все логи, запускаю как должно быть, пробую чего надобно, получаю отлуп, стопаю все что назапускал. И курю логи. Замечательно если в логе пишется время.
от бабусь есть польза - они иногда умирают
Спасибо сказали:
Tiarasu
Сообщения: 64
ОС: Fedora 11

Re: Не пускает в домен

Сообщение Tiarasu »

Выданные тикеты (насколько я знаю - команда klist) выдает следующее:

user@host

klist Ticket cache: FILE:/tmp/krb5cc_0 Default principal: user@MY.DOMAIN.COM Valid starting Expires Service principal 08/05/08 14:29:15 08/06/08 00:29:25 krbtgt/MY.DOMAIN.COM@MY.DOMAIN.COM renew until 08/06/08 14:29:15 Kerberos 4 ticket cache: /tmp/tkt0 klist: You have no tickets cached


iptables отключен.
Еще такой вопрос - как посмотреть, какие процессы запущены? И как посмотреть состояние определенного процесса?
Вопросы новичковые но ведь и тема соответствующая...
Кроме того, перестал выдавать ответ на команды wbinfo -g и wbinfo -u. wbinfo -p - проходит без проблем.
Обновить сертификат не дает:

user@host

# kinit user@MY.DOMAIN.COM kinit(v5): Cannot resolve network address for KDC in realm MY.DOMAIN.COM while getting initial credentials


Вероятно, либо процесс какой-то мешает, либо снова неверно настроен /etc/krb5.conf
ЗЫ Я правильно оформляю сообщение? :blush:
Спасибо сказали:
Аватара пользователя
nacmyx
Сообщения: 101
ОС: centos

Re: Не пускает в домен

Сообщение nacmyx »

cat /etc/krb5.conf
[logging]
default = FILE:/var/log/krb5/krb5libs.log
kdc = FILE:/var/log/krb5/krb5kdc.log
admin_server = FILE:/var/log/krb5/kadmind.log

[libdefaults]
default_realm = SRC.LOCAL
dns_lookup_realm = true
dns_lookup_kdc = true
ticket_lifetime = 24h
forwardable = yes

[realms]
SRC.LOCAL = {
kdc = krb.src.local:88
admin_server = krb.src.local:750
default_domain = src.local
}

[domain_realm]
.src.local = SRC.LOCAL
src.local = SRC.LOCAL

[appdefaults]
pam = {
debug = false
ticket_lifetime = 36000
renew_lifetime = 36000
forwardable = true
krb4_convert = false
}


cat /var/kerberos/krb5kdc/kdc.conf
[kdcdefaults]
v4_mode = disable
kdc_tcp_ports = 88

[realms]
SRC.LOCAL = {
#master_key_type = des3-hmac-sha1
acl_file = /var/kerberos/krb5kdc/kadm5.acl
dict_file = /usr/share/dict/words
admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
supported_enctypes = des3-hmac-sha1:normal arcfour-hmac:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal des-cbc-crc:v4 des-cbc-crc:afs3
}

ps ax | grep kerb
1801 ? Ss 0:00 /usr/kerberos/sbin/kadmind
1816 ? Ss 0:00 /usr/kerberos/sbin/krb524d -m
1834 ? Ss 0:00 /usr/kerberos/sbin/krb5kdc
24863 pts/3 S+ 0:00 grep kerb


cat /etc/hosts
# Do not remove the following line, or various programs
# that require network functionality will fail.
127.0.0.1 localhost
172.16.27.4 krb.src.local


cat /etc/resolv.conf
search src.local
nameserver 192.168.10.11
nameserver 192.168.10.10


cat /etc/host.conf
order hosts,bind
[root@krb etc]#


вариант - глянуть nslookup MY.DOMAIN.COM
ибо не резолвится
от бабусь есть польза - они иногда умирают
Спасибо сказали:
Tiarasu
Сообщения: 64
ОС: Fedora 11

Re: Не пускает в домен

Сообщение Tiarasu »

nacmyx писал(а):
06.08.2008 14:55
вариант - глянуть nslookup MY.DOMAIN.COM
ибо не резолвится
Не резолвится (( Глянул.

user@host

# nslookup MY.DOMAIN.COM ;; connection timed out; no servers could be reached



nacmyx писал(а):
06.08.2008 14:55
ps ax | grep kerb
1801 ? Ss 0:00 /usr/kerberos/sbin/kadmind
1816 ? Ss 0:00 /usr/kerberos/sbin/krb524d -m
1834 ? Ss 0:00 /usr/kerberos/sbin/krb5kdc
24863 pts/3 S+ 0:00 grep kerb
Здесь ответ тоже другой.

user@host

# ps ax | grep kerb 4117 pts/1 S+ 0:00 grep kerb
Вот как то так. С остальным - иду копать.
Подскажите пожалуйста, как получить список запущенных процессов и состояние одного отдельно взятого процесса?
И еще, что значит это: ".LOCAL"? Значит ли это что после имени домена вида MOSCOW.DOMAIN.COM надо добавлять эту LOCAL? Или хватит просто имени домена? Интересуюсь, потому что не первый раз вижу...

PS
nacmyx писал(а):
06.08.2008 14:55
cat /var/kerberos/krb5kdc/kdc.conf
нет такого файла. locate выдает нечто подобное по пути /usr/kerberos/share/examples/krb5/kdc.conf
krb5.config переделал, только два вопроса.
nacmyx писал(а):
06.08.2008 14:55
dns_lookup_realm = true
dns_lookup_kdc = true
Для чего эти строчки? И
nacmyx писал(а):
06.08.2008 14:55
[realms]
SRC.LOCAL = {
kdc = krb.src.local:88
admin_server = krb.src.local:750
default_domain = src.local
}
точно ли надо указывать в kdc и admin_server именно сервак, а не realm?
Спасибо сказали:
Tiarasu
Сообщения: 64
ОС: Fedora 11

Re: Не пускает в домен

Сообщение Tiarasu »

nacmyx писал(а):
06.08.2008 14:55
cat /etc/resolv.conf
search src.local
nameserver 192.168.10.11
nameserver 192.168.10.10
Большое спасибо, тут собака порылась. Отредактировал конфиг - все отрезолвил, теперь я в домене. Хоть и проругался, на что - до конца не понял.

user@host

# net ads join -U user Enter user's password: Using short domain name -- DOMAIN_MY_01 Joined 'FEDORIC' to realm 'my.domain.com' [2008/08/06 19:12:07, 0] libads/kerberos.c:ads_kinit_password(356) kerberos_kinit_password FEDORIC$@my.domain.com failed: KDC reply did not match expectations No DNS domain configured for fedoric. Unable to perform DNS Update. DNS update failed!
Это критично? И еще вопрос, насколько критично что тикет кербероса я получал одним юзером, а в домен вводил машину другим?

ЗЫ Если быть точным, то не я, а машина в домене. А через Gnome зайти так и не удается. Пытаюсь логиниться через короткое имя домена DOMAIN_MY_01\user , затем password. Сначала отвечает "no logon servers", затем привычное unable authenticate user . Может быть я не доредактировал какой-то конфиг Gnome?
Спасибо сказали:
Аватара пользователя
nacmyx
Сообщения: 101
ОС: centos

Re: Не пускает в домен

Сообщение nacmyx »

Подозреваю что ДНС апдейтится не просто так - внимательно курим логи и конфиги самбы\ад.
Список процессов через ps, возможно с кучей ключей. Смотрите ман к своему дистру.
Мой домен = src.local
Строчки с dns_ где смотреть krb.src.local. В варианте с неблагоприятным окружением не брать с ДНСа айпи, а сразу пробить его в хостс.
Настоятельно рекомендую почитать доки для вашего кербероса.
Админ сервер это админ сервер. Читаем предыдущую строчку, ибо писать доку здесь нет времени.
от бабусь есть польза - они иногда умирают
Спасибо сказали:
Tiarasu
Сообщения: 64
ОС: Fedora 11

Re: Не пускает в домен

Сообщение Tiarasu »

Большое спасибо за неоценимую помощь! Она все-таки пытается загрузиться в Gnome. Правда показывает пока только синий экран, и все. Ушел курить логи :sleep:
Спасибо сказали:
7true
Сообщения: 1
ОС: debian lenny

Re: Не пускает в домен

Сообщение 7true »

""""No DNS domain configured for fedoric. Unable to perform DNS Update.
DNS update failed!"""
если контроллер домена виндосный, то
для исправления необходимо в windows зайти в dnsmgmt и там создать новый узел с именем linux машины с галочкой
Разрешить любому прошедшему проверку пользователю обновлять DNS записи с таким же именем владельца
Спасибо сказали:
Аватара пользователя
nacmyx
Сообщения: 101
ОС: centos

Re: Не пускает в домен

Сообщение nacmyx »

А если контроллер невиндозный, то настроить обновлятор. Там надо ключик-пароль и в конфиге намеда прописать мол кто-то с таким ключем придет и поменяет.
от бабусь есть польза - они иногда умирают
Спасибо сказали:
aka
Сообщения: 171

Re: Не пускает в домен

Сообщение aka »

А мне ничего не помогает:( Вылетает вот это DNS update failed!, дистриб opensuse 11.1
Мой блог -- unixway.info --
Спасибо сказали: