Vì sao một yêu cầu proxy hỏi mật khẩu trong khi Kerberos hoạt động với các yêu cầu khác
Tìm quy tắc chính sách gán một vùng xác thực proxy bất ngờ cho một yêu cầu, ngay cả khi các yêu cầu khác dùng Kerberos thành công.
Nhiều yêu cầu dùng Kerberos thành công qua proxy của công ty. Một yêu cầu lại sinh ra lời nhắc mật khẩu. Trước khi thay keytab, hãy kiểm tra yêu cầu cụ thể đó đã chọn chính sách xác thực nào.
Cổng có thể chọn vùng và các lược đồ được hỗ trợ thông qua chính sách. Hai giao dịch đến cùng một proxy từ cùng một trình duyệt không nhất thiết phải nhận cùng yêu cầu xác thực.
Hãy xem dấu vết giả định này:
| Giao dịch | Chính sách khớp đầu tiên | Xác thực khả dụng |
|---|---|---|
| Tài liệu chính | Quy tắc duyệt web được quản lý | Negotiate |
| Tập lệnh từ máy chủ khác | Ngoại lệ đích trước đó | Basic hoặc NTLM |
Trao đổi thành công đầu tiên cho thấy một đường đi đã chọn hoạt động. Nó không cho thấy giao dịch thứ hai đã đến đường đi đó. Thông tin xác thực có thể hợp lệ trong khi quy tắc chọn cơ chế xác thực của nó lại sai.
Kiểm tra quy tắc đã chọn và thứ tự của nó
Liên kết đích và thời điểm của yêu cầu bị thách thức với dấu vết chính sách của cổng. Xác định vùng, lựa chọn lược đồ và chế độ xác thực do quy tắc áp dụng đầu tiên tạo ra. So sánh các giá trị đó với một yêu cầu thành công từ cùng máy khách.
Chính sách dựa trên danh tính gắn với IP cũng có thể hành xử khác với chính sách yêu cầu xác thực trên kết nối. Đừng cho rằng không có bắt tay mới nghĩa là đã chọn cùng vùng.
Nếu tài nguyên rơi vào ngoại lệ ngoài ý muốn, hãy sửa quy tắc hoặc phạm vi của nó và xem lại dấu vết tạo ra. Mở rộng phương thức xác thực được phép ở mọi nơi có thể che giấu sự không khớp nhưng lại thay đổi hành vi truy cập của lưu lượng không liên quan.
Nếu vùng dự định được chọn và trao đổi mong đợi thất bại, hãy chuyển sang bằng chứng về tài khoản và Kerberos. Khi đó vé, tên dịch vụ hoặc chẩn đoán phía sau mới trở nên liên quan.