проблема с login.krb5

0

0

при логине через цербера получаем следующую картину login.krb5 login: outz Password for outz: login: Hostname cannot be canonicalized while verifying initial ticket Login incorrect

такая проблема проявляется на 2х серверах из 4х на остальных 2х всё ок и логин там пашет

отличия между серверами заключается в том что на первых двух, на которых не работает login.krb5 настройки ip забиты ручками, а на тех которых работает, беруться из dhcp

примеры логов цербера при правильном аккаунте и неправильном правильный Oct 19 14:23:47 s4 krb5kdc[4517](info): AS_REQ (2 etypes {16 1}) 192.168.0.3: ISSUE: authtime 1129713827, etypes {rep=16 tkt=16 ses=16}, outz@SPIKPROSTOR.LOCAL for krbtgt/SPIKPROSTOR.LOCAL@SPIKPROSTOR.LOCAL Oct 19 14:23:47 s4 krb5kdc[4517](info): AS_REQ (2 etypes {16 1}) 192.168.0.3: ISSUE: authtime 1129713827, etypes {rep=16 tkt=16 ses=16}, outz@SPIKPROSTOR.LOCAL for krbtgt/SPIKPROSTOR.LOCAL@SPIKPROSTOR.LOCAL

неправильный Oct 19 14:21:11 s4 krb5kdc[4517](info): AS_REQ (2 etypes {16 1}) 192.168.0.1: ISSUE: authtime 1129713671, etypes {rep=16 tkt=16 ses=16}, outz@SPIKPROSTOR.LOCAL for krbtgt/SPIKPROSTOR.LOCAL@SPIKPROSTOR.LOCAL Oct 19 14:21:11 s4 krb5kdc[4517](info): AS_REQ (2 etypes {16 1}) 192.168.0.1: ISSUE: authtime 1129713671, etypes {rep=16 tkt=16 ses=16}, outz@SPIKPROSTOR.LOCAL for krbtgt/SPIKPROSTOR.LOCAL@SPIKPROSTOR.LOCAL

как видно они ничем не различаются конфиг cat /etc/krb5.conf [libdefaults] ticket_lifetime = 600 default_realm = SPIKPROSTOR.LOCAL default_tkt_enctypes = des3-hmac-sha1 des-cbc-crc default_tgs_enctypes = des3-hmac-sha1 des-cbc-crc

[realms] SPIKPROSTOR.LOCAL = { kdc = kerberos.spikprostor.local:88 admin_server = kerberos.spikprostor.local:749 }

[domain_realm] .spikprostor.local = SPIKPROSTOR.LOCAL spikprostor.local = SPIKPROSTOR.LOCAL

[kdc] profile = /etc/kdc.conf

[logging] kdc = FILE:/var/log/krb5kdc.log admin_server = FILE:/var/log/kadmin.log default = FILE:/var/log/krb5lib.log

одинаков на всех серверах

в чём проблема?

Ссылка

←	Приоритеты I/O

pptpd c WinXP на Linux

→

>Hostname cannot be canonicalized while verifying initial ticket

Вот же написано. Керберос довольно чувствителен к name<->IPaddress. Везде все должно быть однозначно, правильно и так, как в его базе при создании хостовых ключей.

DonkeyHot ★★★★★
(19.10.05 14:38:23 MSD)

вот что показывает kadmin про хосты

host/svr1.spikprostor.local@SPIKPROSTOR.LOCAL
host/svr2.spikprostor.local@SPIKPROSTOR.LOCAL
host/svr3.spikprostor.local@SPIKPROSTOR.LOCAL
host/svr4.spikprostor.local@SPIKPROSTOR.LOCAL

вот что показывает nslookup

nslookup
> svr2
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   svr2.spikprostor.local
Address: 192.168.0.2
> svr2.spikprostor.local
Server:         127.0.0.1
Address:        127.0.0.1#53

Name:   svr2.spikprostor.local
Address: 192.168.0.2
> 192.168.0.2
Server:         127.0.0.1
Address:        127.0.0.1#53

2.0.168.192.in-addr.arpa        name = svr2.spikprostor.local.

outZ
(19.10.05 14:46:46 MSD) автор топика