Hvorfor én proxyforespørgsel beder om adgangskode, mens Kerberos virker for andre
Find den politikregel, der tildeler én forespørgsel et uventet proxygodkendelsesområde, selv når andre forespørgsler bruger Kerberos med succes.
Flere forespørgsler bruger Kerberos med succes gennem virksomhedens proxy. Én forespørgsel udløser en adgangskodeanmodning. Før du udskifter en keytab, skal du kontrollere, hvilken godkendelsespolitik netop den forespørgsel valgte.
En gateway kan vælge et område og understøttede skemaer via politik. To transaktioner, der når samme proxy fra samme browser, behøver ikke få de samme godkendelseskrav.
Overvej dette hypotetiske spor:
| Transaktion | Første matchende politik | Tilgængelig godkendelse |
|---|---|---|
| Hoveddokument | Administreret browserregel | Negotiate |
| Script fra en anden vært | Tidligere destinationsundtagelse | Basic eller NTLM |
Den første vellykkede udveksling viser, at én valgt vej virker. Den viser ikke, at den anden transaktion nåede den vej. En godkendelse kan være gyldig, mens reglen, der vælger dens godkendelsesmekanisme, er forkert.
Undersøg den valgte regel og dens rækkefølge
Korrelér den udfordrede forespørgsels destination og tidspunkt med gatewayens politikspor. Identificér det område, de skemavalgs og den godkendelsestilstand, som den første anvendelige regel producerer. Sammenlign disse værdier med en vellykket forespørgsel fra samme klient.
En politik baseret på en IP-tilknyttet identitet kan også opføre sig anderledes end en, der kræver godkendelse på en forbindelse. Antag ikke, at fraværet af et nyt handshake betyder, at det samme område blev valgt.
Hvis ressourcen faldt i en utilsigtet undtagelse, skal du rette den regel eller dens omfang og gennemgå det resulterende spor. At udvide tilladte godkendelsesmetoder overalt kan skjule uoverensstemmelsen, men ændrer adgangsadfærden for urelateret trafik.
Hvis det tilsigtede område er valgt, og den forventede udveksling mislykkes, skal du fortsætte til konto- og Kerberos-beviserne. Det er her, billetten, tjenestenavnet eller backend-diagnostikken bliver relevant.