Prečo jedna požiadavka cez proxy žiada heslo, kým Kerberos funguje pre ostatné
Nájdite pravidlo zásad, ktoré jednej požiadavke priradí neočakávanú oblasť overovania proxy, aj keď ostatné požiadavky úspešne používajú Kerberos.
Niekoľko požiadaviek úspešne používa Kerberos cez firemnú proxy. Jedna požiadavka vyvolá výzvu na zadanie hesla. Pred výmenou keytabu skontrolujte, ktorú zásadu overovania si vybrala práve táto požiadavka.
Brána môže zásadou vybrať oblasť a podporované schémy. Dve transakcie prichádzajúce na rovnakú proxy z rovnakého prehliadača nemusia dostať rovnaké požiadavky na overenie.
Zvážte túto hypotetickú stopu:
| Transakcia | Prvé zodpovedajúce pravidlo | Dostupné overenie |
|---|---|---|
| Hlavný dokument | Spravované pravidlo prehliadania | Negotiate |
| Skript z iného hostiteľa | Skoršia výnimka cieľa | Basic alebo NTLM |
Prvá úspešná výmena ukazuje, že jedna zvolená cesta funguje. Neukazuje, že druhá transakcia touto cestou prešla. Prihlasovací údaj môže byť platný, kým pravidlo vyberajúce jeho overovací mechanizmus je nesprávne.
Preskúmajte zvolené pravidlo a jeho poradie
Spojte cieľ a čas napadnutej požiadavky so stopou zásad brány. Určte oblasť, voľby schémy a režim overovania, ktoré vytvára prvé použiteľné pravidlo. Porovnajte tieto hodnoty s úspešnou požiadavkou rovnakého klienta.
Zásada založená na identite spojenej s IP sa môže tiež správať inak ako zásada vyžadujúca overenie na spojení. Nepredpokladajte, že neprítomnosť nového handshake znamená voľbu rovnakej oblasti.
Ak zdroj spadol do nezamýšľanej výnimky, opravte to pravidlo alebo jeho rozsah a skontrolujte výslednú stopu. Rozšírenie povolených metód overovania všade môže nezrovnalosť skryť, ale mení správanie prístupu pre nesúvisiacu prevádzku.
Ak je zvolená zamýšľaná oblasť a očakávaná výmena zlyhá, prejdite k dôkazom o účte a Kerberose. Vtedy sa stanú relevantnými lístok, názov služby alebo diagnostika backendu.