Kerberos (Pre)Authentication Fehler

[Kinnetik 0]

Hallo zusammen,

ich habe im Anhang einmal mein Problem skizziert. Und zwar habe ich zwei Domains, I und B. Diese sind per One-Way getrustet, also Domain I vertraut Domain B.

 

Mein Client ist in Domain B und wird mit einem User aus Domain B verwendet.

 

Jetzt sollen die Clients aus Domain B aber Laufwerke mit Credentials aus Domain I verbinden. Das funktioniert aber nicht, per Net Use bekomme ich die Meldung, "Eine angegebene Anmeldesitzung ist nicht vorhanden. Sie wurde gegebenenfalls beendet.", dann ist der User aus I gesperrt.

Wenn ich im Userobjekt bei I den Haken setzte bei "Do not require Kerberos Preauthentication" funktioniert es.

 

Aus einem NetMon habe ich das bekommen

Name   Value    Bit Offset          Bit Length         Type    

Etype   ( aes256-cts-hmac-sha1-96 (18)  rc4-hmac (23)  Unknown Encryption Type(-133)  Unknown Encryption Type(-128)  rc4-hmac-exp (24)  Unknown Encryption Type(-135) )         1912     192       ArrayValue`1    

 

Hat jemand von euch eventuell eine Idee, wie ich das Problem weiter angehen könnte ?

 

Vielen Dank für eure Hilfe

bearbeitet 20. März 2018 von Kinnetik

[Tektronix 21]

Hallo,

vielleicht die Vertrauenstellung in beide Richtungen?

Oder seh ich da was falsch?

[Kinnetik 0]

Wir haben auch noch eine dritte Domain A, die hat auch keinen beidseitigen Trust, dort funktioniert es aber...

[Tektronix 21]

Alle auf der selben Funktionsebene?

[Tektronix 21]

Hallo,

hast Du Eventlogeinträge Event Id 4771:

Fehlercodes

[Kinnetik 0]

Hey,

 

ja es sind 4771 Fehler da. Hauptsächlich 0x18, aber das Kennwort ist definitiv nicht falsch. Es wurden auch andere User mit anderen Kennwörtern versucht.

0x18

Pre-authentication information was invalid

Usually means bad password

 

Mir gehen leider die Ideen aus, was es noch sein könnte. Es muss ja mit Kerberos zu tun haben, wenn ich die Option im User deaktiviere funktioniert es ja, aber das ist keine Lösung.

 

Vielleicht noch der Hinweis, wir greifen auf ein DFS zu. Aber auch die Anmeldung direkt an den Namespace Servern geht nicht.

[Tektronix 21]

Hallo,

es könnte noch an verschiedenen authentifizierungsprotokollen liegen.

Die verstehen sich einfach nur ncht.