Eine NTLM-Proxyanmeldung in curl untersuchen

Die NTLM-Proxyauthentifizierung umfasst einen Handshake; es genügt nicht, einmal einen Benutzernamen anzuhängen. Prüfen Sie vor einer Passwortänderung, ob der Proxy tatsächlich NTLM anbietet und die verwendete curl-Binärdatei es unterstützt.

curl --version

Prüfen Sie die Funktionsliste genau der Binärdatei, die Ihre Anfrage ausführt. Eine andere installierte curl-Version, ein Container-Image oder ein Betriebssystem-Build kann andere Authentifizierungsverfahren unterstützen.

Wählen Sie das Verfahren gezielt für den Proxy

curl --proxy http://proxy.example:3128 --proxy-ntlm --proxy-user 'EXAMPLE\alice' --noproxy '' --connect-timeout 5 --max-time 20 https://example.com/

Endpunkt, Domäne und Benutzername sind Beispiele. Verwenden Sie das von Ihrer Administration vorgegebene Format. Ohne Passwort im Argument kann curl danach fragen, statt das Geheimnis im angezeigten Befehl zu hinterlassen.

Eine anfängliche Authentifizierungs-Challenge kann Teil der Aushandlung sein. Unterscheiden Sie das von der Ablehnung nach einem abgeschlossenen Handshake. Beantworten Sie eine Proxy-Challenge nicht mit einer NTLM-Option für den Ursprungsserver.

Berücksichtigen Sie das Verbindungsverhalten bei der Diagnose

NTLM verwaltet verbindungsgebundenen Zustand. Der Handshake muss über den erwarteten Verbindungsweg erfolgen; wiederholtes Ersetzen der Verbindung zwischen den einzelnen Phasen kann seinen Abschluss verhindern.

Lassen Sie bei einer Anwendung mit libcurl die Bibliothek Authentifizierung und Verbindungswiederverwendung verwalten. Bauen Sie keinen allgemeinen Pool, der für verschiedene Identitäten authentifizierte Verbindungen als austauschbar behandelt. Prüfen Sie bei mehreren Zwischenstationen oder einem vermittelnden Dienst, ob die erforderliche Verbindungsstruktur erhalten bleibt.

Wenn Unterstützung und Verfahrenswahl stimmen, untersuchen Sie Kontoformat, Domänenrichtlinie und die bereinigten Authentifizierungsprotokolle des Servers. Ein Timeout vor jeder Challenge bleibt ein Erreichbarkeitsproblem und belegt kein falsches NTLM-Passwort.

Ausführliche Mitschnitte können Authentifizierungstoken und interne Namen enthalten. Verwenden Sie sie lokal und bereinigen Sie sie vor dem Teilen; ein öffentlicher Fehlerbericht benötigt keinen unveränderten Tokenaustausch.