Isilon: Todentaminen toimialueen täydellisen toimialueen kautta epäonnistuu, virhe KRB5KRB_AP_ERR_MODIFIED

Todentaminen toimialuenimen kautta epäonnistuu ja näyttöön tulee seuraava virhesanoma lsassd.log:
 

Tämä viesti osoittaa, että; Isilon ei tunnista asiakasta, joka pyytää jotain Isilonin tarjoamista palveluista. Tämä aiheuttaa todennuksen epäonnistumisen Kerberoksen kautta, koska asiakas ei anna kelvollista lippua, jonka Isilon tunnistaa ja jonka salaus puretaan. 

Sama viesti voidaan tulkita verkon jäljityksen kautta, kun näet Isilonin [10.17.0.154] lähettävän "KRB5KRB_AP_ERR_MODIFIED"-paketin takaisin asiakkaalle [10.106.12.162] istunnon määrityspyyntöä varten:


 

Tämä voi tapahtua useista syistä, mutta yleisimmät on lueteltu alla:

• Toimialuepuuryhmässä on tili, jolla on sama palvelun päänimi. Joskus KDC antaa virheen takaisin KRB_S_PRINCIPAL_UNKNOWN, mutta on tapauksia, joissa se antaa Kerberos-lipun, että palvelu [meidän tapauksessamme se on Isilon] ei voi purkaa salausta ja saada siten KRB5KRB_AP_ERR_MODIFIED.

• Palvelun päänimi on väärällä Active Directory -tilillä (tietokone tai käyttäjä). Kyse on jälleen palvelun päänimen kaksoiskappaleesta.

• Palvelua suorittava Active Directory -tili on päivittänyt/vaihtanut salasanansa, ja ongelma ilmenee Active Directoryn replikointiviiveen tai Active Directoryn replikointiongelman vuoksi.

Tässä asiakas yrittää käyttää Isilon-jakoa FQDN: n avulla "mixed.isilon.com".

Katsotaanpa nyt tämän yrityksen verkkojäljitystä.


 


1. Näemme oikean nimen resoluution "mixed.isilon.com": lle ja DNS-palvelimen vastauksen takaisin IP-osoitteella 10.17.0.156 (kehykset 5042 > 5049)

2. Tämän jälkeen laite saa TGT:n toimialueen ohjauskoneelta (katso AS-REQ ja AS-REP) (kehykset 5082 ja 5093)

3. Sitten kone pyytää ja saa palvelulipun "mixed.isilon.com" (kehykset 5101 > 5104). Kuten alla näet, kone pyysi Kerberos-lippua "mixed.isilon.com"


CName tarkoittaa asiakkaan nimeä ja SName palvelun nimeä




4.  Sitten kone palaa Isiloniin ja yrittää todentaa käyttämällä toimialueen ohjauskoneesta juuri saamaansa Kerberos-lippua (kehykset 5107 ja 5111). Todennuksen aikana Isilon vastaa KRB5KRB_AP_ERR_MODIFIED (kehys 5111).


Jos näet vaiheessa 3, asiakas saa Kerberos-lipun alueelta ISILON.COM, kun klusteri on liitetty luotettuun toimialueeseensa tässä tilanteessa nimellä CORP.COM. Tämä tarkoittaa, että ISILON.COM on rekisteröity palvelun päänimen kaksoiskappale, eikä Isilon voi purkaa asiakkaan esittämän lipun salausta, koska klusteri käyttää CORP.COM todentamiseen. Tämä aiheuttaa todennuksen epäonnistumisen.

Esimerkki ISILON.COM ja CORP.COM lueteltujen SPN:SPN:

ien kaksoiskappaleista 
 

Tarkista luotetut verkkotunnukset ja kaksoiskappaleet toimialueella, johon Isilon on liitetty, ja luotetulla toimialueella:

Voit tarkistaa luotetut toimialueet seuraavasti:

# isi auth ads trusts list --provider-name=<Domain name cluster is joined to>

- Toimialueella läsnä olevien palvelun päänimien luettelointi:
 

Jos palvelun päänimistä on olemassa kaksoiskappaleita ja todennukseen käytetään vain ensisijaista toimialuetta, poista palvelun päänimi KB OneFS:n jälkeen: Palvelun päänimien (SPN) kaksoiskappaleiden etsiminen Active Directorysta, mikä estää SMB-asiakkaita todentautumasta klusteriin.