如何确定 Active Directory 使用的是 Kerberos 还是 NTLM？

Question

有可以使用的命令行程序吗？

Answer 1

我认为问题应该被扭曲。Active Directory 支持 Kerberos 和 NTLM。Windows 将首先尝试 Kerberos，如果不满足所有要求，它将回退到 NTLM。

我将举个例子，按名称访问文件共享（如 \server1\share）将调用 Kerberos，并且在适当的许可下应该会成功。但是使用 IP 地址访问相同的文件共享将首先调用 Kerberos 并失败（因为 IP 地址没有 SPN），然后故障转移到 NTLM。

因此，请确定您的程序如何尝试针对 AD 进行身份验证，并应告诉您正在使用哪种协议。

我很想知道是什么促使你问这个问题。

Answer 2

您可以查看活动 Kerberos 票证列表以查看是否有针对感兴趣的服务的票证，例如通过运行klist.exe。

如果您破解了注册表，还有一种方法可以记录 Kerberos 事件。

Answer 3

Netstat 显示所有侦听的 TCP 和 UDP 连接。使用选项 -na 适用于所有连接，不解析名称或端口。'b' 选项是显示与其相关的程序。如果 DNS 正在运行，它可能会显示许多其他连接，因此您可能还需要指定 TCP。

如果部署的是 Active Directory 域控制器，则 Kerberos 肯定会运行。

netstat-nab