Kial unu proksea peto postulas pasvorton dum Kerberos funkcias por aliaj
Trovu la politikan regulon, kiu atribuas neatenditan proksean aŭtentikigan regnon al unu peto, eĉ kiam aliaj petoj sukcese uzas Kerberos.
Pluraj petoj sukcese uzas Kerberos tra la kompania prokseo. Unu peto kaŭzas pasvortan inviton. Antaŭ ol anstataŭigi keytab, kontrolu kiun aŭtentikigan politikon tiu aparta peto elektis.
Enirejo povas elekti regnon kaj subtenatajn skemojn per politiko. Du transakcioj al la sama prokseo el la sama retumilo ne nepre ricevas la samajn aŭtentikigajn postulojn.
Konsideru ĉi tiun hipotezan spuron:
| Transakcio | Unua kongrua politiko | Disponebla aŭtentikigo |
|---|---|---|
| Ĉefa dokumento | Administrata retuma regulo | Negotiate |
| Skripto de alia gastigo | Pli frua cela escepto | Basic aŭ NTLM |
La unua sukcesa interŝanĝo montras, ke unu elektita vojo funkcias. Ĝi ne montras, ke la dua transakcio atingis tiun vojon. Akreditaĵo povas esti valida dum la regulo, kiu elektas ĝian aŭtentikigan mekanismon, estas malĝusta.
Ekzamenu la elektitan regulon kaj ĝian ordon
Kunligu la celon kaj tempon de la defiita peto kun la politika spuro de la enirejo. Identigu la regnon, la skemajn elektojn kaj la aŭtentikigan reĝimon, kiujn produktas la unua aplikebla regulo. Komparu tiujn valorojn kun sukcesa peto de la sama kliento.
Politiko bazita sur IP-ligita identeco ankaŭ povas konduti alie ol tiu, kiu postulas aŭtentikigon sur konekto. Ne supozu, ke la foresto de nova manpremo signifas, ke oni elektis la saman regnon.
Se la rimedo falis en neatenditan escepton, ĝustigu tiun regulon aŭ ĝian amplekson kaj reviziu la rezultan spuron. Larĝigi la permesitajn aŭtentikigajn metodojn ĉie povas kaŝi la malkongruon, sed ĝi ŝanĝas la alirmanieron por nerilata trafiko.
Se oni elektas la celatan regnon kaj la atendata interŝanĝo malsukcesas, daŭrigu al la pruvoj pri konto kaj Kerberos. Tiam relevantiĝas la bileto, la servnomo aŭ la diagnozo de la fona sistemo.