Диагностика входа через NTLM-прокси в curl

Аутентификация NTLM-прокси включает рукопожатие, а не однократное добавление имени пользователя. Прежде чем менять пароль учётной записи, убедитесь, что прокси действительно предлагает NTLM и исполняемый файл curl его поддерживает.

curl --version

Проверьте список возможностей именно того файла, который выполняет запрос. Другая установка curl, образ контейнера или сборка операционной системы могут поддерживать другие способы аутентификации.

Выбирайте способ аутентификации именно для прокси

curl --proxy http://proxy.example:3128 --proxy-ntlm --proxy-user 'EXAMPLE\alice' --noproxy '' --connect-timeout 5 --max-time 20 https://example.com/

Конечная точка, домен и имя пользователя приведены как примеры. Используйте формат администратора. Если аргумент не содержит пароль, curl может запросить его, не оставляя секрет в отображаемой команде.

Начальный запрос аутентификации может быть частью согласования. Отличайте его от отказа после завершённого рукопожатия. Не отвечайте на запрос прокси опцией NTLM для сервера назначения.

Учитывайте поведение соединений при диагностике

NTLM хранит состояние в рамках соединения. Рукопожатие должно проходить по ожидаемому пути соединения; постоянная замена соединений между его этапами может помешать завершению.

В приложении с libcurl поручите библиотеке управление аутентификацией и повторным использованием соединений. Не создавайте общий пул, считающий взаимозаменяемыми соединения, аутентифицированные для разных идентичностей. Для многозвенного или промежуточного сервиса проверьте сохранение необходимой организации соединений.

Если поддержка и выбор способа верны, исследуйте формат учётной записи, доменную политику и очищенные от чувствительных данных журналы аутентификации сервера. Тайм-аут до любого запроса аутентификации остаётся проблемой доступности и не доказывает неверный пароль NTLM.

Подробные трассировки могут содержать токены аутентификации и внутренние имена. Используйте их локально и удаляйте чувствительные данные перед передачей; необработанный обмен токенами не нужен в публичном отчёте об ошибке.