Zašto jedan zahtjev kroz proxy traži lozinku dok Kerberos radi za ostale
Pronađite pravilo politike koje jednom zahtjevu dodjeljuje neočekivanu proxy autentifikacijsku domenu, čak i kada drugi zahtjevi uspješno koriste Kerberos.
Nekoliko zahtjeva uspješno koristi Kerberos kroz korporativni proxy. Jedan zahtjev izaziva upit za lozinku. Prije zamjene keytaba provjerite koju je politiku autentifikacije odabrao taj zahtjev.
Pristupnik može odabrati domenu i podržane sheme kroz politiku. Dvije transakcije koje dolaze na isti proxy iz istog preglednika ne moraju dobiti iste zahtjeve za autentifikaciju.
Razmotrite ovaj hipotetski trag:
| Transakcija | Prvo odgovarajuće pravilo | Dostupna autentifikacija |
|---|---|---|
| Glavni dokument | Upravljano pravilo pregledavanja | Negotiate |
| Skripta s drugog hosta | Ranija iznimka odredišta | Basic ili NTLM |
Prva uspješna razmjena pokazuje da jedan odabrani put radi. Ne pokazuje da je druga transakcija stigla do tog puta. Vjerodajnica može biti valjana, a pravilo koje odabire njezin mehanizam autentifikacije pogrešno.
Pregledajte odabrano pravilo i njegov redoslijed
Povežite odredište i vrijeme izazvanog zahtjeva s tragom politike pristupnika. Utvrdite domenu, izbore sheme i način autentifikacije koje proizvodi prvo primjenjivo pravilo. Usporedite te vrijednosti s uspješnim zahtjevom istog klijenta.
Politika zasnovana na identitetu povezanom s IP-om također se može ponašati drukčije od one koja zahtijeva autentifikaciju na vezi. Ne pretpostavljajte da odsutnost novog rukovanja znači da je odabrana ista domena.
Ako je resurs završio u nenamjernoj iznimci, ispravite to pravilo ili njegov opseg i pregledajte dobiveni trag. Proširenje dopuštenih metoda autentifikacije svugdje može prikriti neusklađenost, ali mijenja ponašanje pristupa za nepovezani promet.
Ako je odabrana željena domena, a očekivana razmjena ne uspije, prijeđite na dokaze o računu i Kerberosu. Tada postaju relevantni ulaznica, naziv usluge ili dijagnostika pozadinskog sustava.