在脱节的命名空间中使用Kerberos进行身份验证

Question

Kerberos我的网络有问题.

我的Active Directory域名配置为"acme.com".但是,DNS suffix是的"wifi.acme.com".在计算机(endpoint1)中,我尝试SMB对endpoint2 执行查询

dir \\\\endpoint2.wifi.acme.com\admin$

失败并出现以下错误:

"不支持该请求".

我有一个限制NTLM传出连接的安全策略(网络安全:限制NTLM:NTLM到远程服务器的传出流量).

在Wireshark我可以看到,Kerberos TGS请求与返回错误:

"err-s-principal-unknown kerberos".

我尝试了以下解决方案但没有成功:

msDS-AllowedDNSSuffixes使用适当的更新属性DNS suffix.
定义主机名Kerberos realm mappings(如Kerberos-SSO-Handling-Disjointed-Active-Directory-and-UNIX-DNS)

是否有解决此问题的方法而不修改DNS suffix也没有Active Directory domain相同的名称？

谢谢.

Answer 1

尝试使用两个斜杠而不是四个斜杠。

dir \\endpoint2.wifi.acme.com\admin$

您收到的错误消息很重要。错误 5 表示您已连接，但没有凭据。错误 53 表示您没有连接。

您为什么尝试WIFI .acme.com？当您使用 FQDN 时，域后缀通常不会产生影响（在某些情况下会产生影响）。

尝试对资源执行 ping 操作，看看是否收到响应（甚至是 IP 地址）。我怀疑你不是，你应该去\endpoint2.acme.com\admin$代替。

如果所有其他方法都失败，请尝试dir \\admin$，其中 IP 地址是“endpoint2”设备的 IP。