Диагностика проблем Kerberos-аутентификации при настройке технологии единого входа, протокола LDAP

-

 

Диагностика проблем Kerberos-аутентификации при настройке технологии единого входа, протокола LDAP 


https://support.kaspersky.ru/kwts/6.2/diagnostics/15969#block5

Чтобы диагностировать проблемы синхронизации с LDAP-сервером:

  1. Включите трассировку KWTS с уровнем отладки по инструкции.
  2. Нажмите Синхронизировать в параметрах соединения с LDAP-сервером по инструкции, чтобы воспроизвести проблему.
  3. Примерно через 10-20 минут, в зависимости от размера доменов и их количества, вы можете:
    • проверить журнал на узле с помощью команды:
      grep LdapC /var/log/kwts-traces | less
    • сохранить архив на рабочее место администратора и посмотреть журнал другим способом по инструкции.
  4. Выключите трассировку.

Если вы увидите ошибки, определите причину проблемы по таблице ниже.

ОшибкаПричина
25199 ERR cannot retrieve domain data from ldaperror resolving "_ldap._tcp.EXAMPLE.COM", res_query return -1 with 204800 as buffer answer sizeВ DNS отсутствуют SRV-записи для домена, указанного в keytab-файле.
27327 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328230): Cannot find KDC for realm "EXAMPLE.COM" - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)В DNS есть SRV-записи, но нет A-записей для контроллера домена.
28015 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328230): Cannot find KDC for realm "EXAMPLE.COM" - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)В DNS есть SRV- и A-записи, но отсутствуют PTR-записи для контроллера домена.
28364 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328230): Cannot find KDC for realm "EXAMPLE.COM" - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)PTR-запись в DNS не соответствует A-записи.
40967 ERR cannot retrieve domain data from ldaperror resolving "_ldap._tcp.EXAMPLE.COM", res_query return 16623 with 12800 as buffer answer sizeСлишком много SRV-записей, длинный ответ от DNS-сервера.
32626 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328228): Cannot contact any KDC for realm 'EXAMPLE.COM' - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)Невозможно подключиться к контроллеру домена, превышено время ожидания.
33599 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328228): Cannot contact any KDC for realm 'EXAMPLE.COM' - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)Невозможно подключиться к контроллеру домена, отказано в соединении.
36512 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328237): KDC reply did not match expectations - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)Домен в keytab-файле указан в нижнем регистре.
41421 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328360): Preauthentication failed - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)

В keytab-файле указан неверный пароль служебной учетной записи, или пароль был изменен после создания keytab-файла.

Замена пароля требует пересоздания keytab-файла, даже если пароль идентичен прежнему. Важно очистить SPN в атрибутах сервисного пользователя KWTS, чтобы не создать дубликат SPN-записи.

42131 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328347): Clock skew too great - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)Для служебной учетной записи, указанной в keytab-файле, время входа ограничено расписанием.
42014 ERR cannot retrieve domain data from ldapCheckFailedException - LDAP error (10): Referral - Cannot perform LDAP search operation. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/ldap/connection.cpp(242)Неправильно указана база поиска (Base DN).
15832 ERR cannot retrieve domain data from ldapCheckFailedException - Kerberos error (-1765328378): Client ['HTTP/kwts5.test.local@TEST.LOCAL'](mailto:'HTTP/kwts5.example.com@EXAMPLE.COM) not found in Kerberos database - Cannot get initial credentials using a key table. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/krb/kerberos_wrapper.cpp(175)SPN-запись, указанная в keytab-файле, не существует.
  • 2863 ERR CheckFailedException - LDAP error (-2): Local error - Cannot perform LDAP SASL interactive bind operation. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/ldap/connection.cpp(203)
  • 2863 ERR CheckFailedException - LDAP error (-2): Local error - Cannot perform LDAP SASL interactive bind operation. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/ldap/connection.cpp(203)
  • 2863 ERR cannot retrieve domain data from ldapCheckFailedException - Couldn't connect to any server. At /BUILD/PDK/core/ldap_cache.acme/kwts.linux-64/source/ldap/ldap_reader_impl.cpp(111)
Системное время на устройстве с KWTS не синхронизировано с контроллером домена.
  • 33227 DBG trying to connect ldap://example.com:389
  • 33227 WRN Couldn't connect ldap://example.com:389
  • 33227 ERR CheckFailedException - LDAP error (-2): Local error - Cannot perform LDAP SASL interactive bind operation. At /tmp/buildbot/core_ldap_cache-kwts_linux-64/build/source/ldap/connection.cpp(203)
Невозможно подключиться к LDAP-серверу по TCP-порту 389.

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

У вас нет прав для отправки сообщения вместо указанного пользователя. Ошибка: [0x80070005-0x0004dc-0x000524]

-
Изображение
Включить выключить кеширование Закрыть outlook Удалить C:\Users\%username%\AppData\Local\Microsoft\Outlook\Offline Address Books Выключить кэширование почтового ящика http://arozhk.ru/soft/outlook-oshibka-0x80070005-00000000-00000000 Соответственно права все проставлены, проверены и внешне всё нормально. Как я решил эту проблему? Первое, поискал в интернете описание подобных проблем, оказывается я не первый у кого Exchange 2016 выдает ошибку при отправки сообщения из другого почтового ящика. Вариантов получилось несколько, очистить кэш клиента, перезагрузить адресную книгу, перебить права чуть ли не лезя ручками в AD. Много чего. Но в одном мало заметном посте прочитал, что всё банально, такая ошибка, при всех правильно проставленных правах, возникает если адресат от имени которого отправляем письмо, скрыт в глобальной адресной книге … Нонсенс, но факт. Вернул аккаунт в адресную книгу — ошибки не стало. Так что, если и у Вас возникает такая ошибка в Exchange 2016, когда В...
Далее...

Пустое значение виртуального каталога Autodiscover - Object reference not set to an instance of an object (Get-AutodiscoverVirtualDirectory)

-
 https://support.microsoft.com/en-au/topic/autodiscover-event-id-1-after-installing-exchange-server-2019-cu3-or-exchange-server-2016-cu14-93850e62-4cf4-8a76-5fd4-c8ce6f032015 Autodiscover Event ID 1 after installing Exchange Server 2019 CU3 or Exchange Server 2016 CU14 Symptoms After you upgrade to  Cumulative Update 3 for Microsoft Exchange Server 2019  or  Cumulative Update 14 for Exchange Server 2016 , you receive the following error message: Log Name:      Application Source:        MSExchange Autodiscover Date:           DateTime Event ID:      1 Task Category: Web Level:         Error Keywords:      Classic User:          N/A Computer:       ComputerName Description: Unhandled Exception "Object reference not set to an instance of an object." Stack trace:    at Microsoft.Exchange.AutoDiscoverV2.FlightSett...
Далее...

Настройка аутентификации Kerberos для сервера Exchange

-
Изображение
 https://www.alitajran.com/kerberos-authentication-exchange-server/ Настройка аутентификации Kerberos для сервера Exchange Обновлено 5 марта 2025 г.   Обмен  ,  Powershell   6 комментариев Если вы сталкиваетесь с частыми запросами аутентификации или низкой производительностью Outlook и Exchange Server, включение аутентификации Kerberos исправит это. Кроме того, Kerberos обеспечивает более высокий уровень безопасности и лучшую производительность по сравнению с аутентификацией NTLM. В этой статье вы узнаете, как настроить аутентификацию Kerberos для Exchange Server. Оглавление Аутентификация Kerberos на сервере Exchange Как настроить аутентификацию Kerberos на сервере Exchange Шаг 1: Создайте альтернативную учетную запись службы (ASA) Шаг 2. Репликация изменений на все контроллеры домена Шаг 3. Разверните учетные данные ASA на первом сервере Exchange Шаг 4. Развертывание учетных данных ASA на другом сервере Exchange Шаг 5. Проверка развертывания учетных данных ASA...
Далее...