Miksi yksi välityspalvelinpyyntö pyytää salasanaa, kun Kerberos toimii muille
Löydä käytäntösääntö, joka antaa yhdelle pyynnölle odottamattoman välityspalvelimen todentamisalueen, vaikka muut pyynnöt käyttävät Kerberosta onnistuneesti.
Useat pyynnöt käyttävät Kerberosta onnistuneesti yrityksen välityspalvelimen kautta. Yksi pyyntö tuottaa salasanakehotteen. Ennen keytabin vaihtamista tarkista, minkä todentamiskäytännön juuri tuo pyyntö valitsi.
Yhdyskäytävä voi valita alueen ja tuetut menetelmät käytännön kautta. Kahden samasta selaimesta samaan välityspalvelimeen saapuvan tapahtuman ei tarvitse saada samoja todentamisvaatimuksia.
Tarkastele tätä hypoteettista jälkeä:
| Tapahtuma | Ensimmäinen vastaava käytäntö | Käytettävissä oleva todentaminen |
|---|---|---|
| Pääasiakirja | Hallittu selaussääntö | Negotiate |
| Skripti toisesta isännästä | Aiempi kohdepoikkeus | Basic tai NTLM |
Ensimmäinen onnistunut vaihto osoittaa, että yksi valittu polku toimii. Se ei osoita, että toinen tapahtuma saavutti tämän polun. Tunnus voi olla kelvollinen, vaikka sen todentamismekanismin valitseva sääntö on väärä.
Tutki valittu sääntö ja sen järjestys
Yhdistä haastetun pyynnön kohde ja aika yhdyskäytävän käytäntöjälkeen. Tunnista alue, menetelmävalinnat ja todentamistila, jotka ensimmäinen soveltuva sääntö tuottaa. Vertaa näitä arvoja saman asiakkaan onnistuneeseen pyyntöön.
IP:hen liittyvään identiteettiin perustuva käytäntö voi myös käyttäytyä eri tavoin kuin yhteyskohtaista todentamista vaativa käytäntö. Älä oleta, että uuden kättelyn puuttuminen tarkoittaa saman alueen valintaa.
Jos resurssi joutui tahattomaan poikkeukseen, korjaa se sääntö tai sen laajuus ja tarkista syntynyt jälki. Sallittujen todentamismenetelmien laajentaminen kaikkialla voi peittää ristiriidan, mutta muuttaa asiaan liittymättömän liikenteen käyttäytymistä.
Jos aiottu alue valitaan ja odotettu vaihto epäonnistuu, siirry tilin ja Kerberoksen todisteisiin. Silloin lipusta, palvelun nimestä tai taustajärjestelmän diagnostiikasta tulee merkityksellisiä.