samba4.2 ad

0

1

два dc debian оба в домене при выболненни на первом dc

samba-tool drs showrepl
ldb_wrap open of secrets.ldb
GENSEC backend 'gssapi_spnego' registered
GENSEC backend 'gssapi_krb5' registered
GENSEC backend 'gssapi_krb5_sasl' registered
GENSEC backend 'schannel' registered
GENSEC backend 'spnego' registered
GENSEC backend 'ntlmssp' registered
GENSEC backend 'krb5' registered
GENSEC backend 'fake_gssapi_krb5' registered
Using binding ncacn_ip_tcp:dc0.domain.ru[,seal]
Aquiring initiator credentials failed: kinit for DC0$@DOMAIN.RU failed (Looping detected inside krb5_get_in_tkt)

SPNEGO(gssapi_krb5) creating NEG_TOKEN_INIT failed: NT_STATUS_UNSUCCESSFUL
Got challenge flags:
Got NTLMSSP neg_flags=0x60898235
NTLMSSP: Set final flags:
Got NTLMSSP neg_flags=0x60088235
NTLMSSP Sign/Seal - Initialising with flags:
Got NTLMSSP neg_flags=0x60088235
Failed to bind to uuid e3514235-4b06-11d1-ab04-00c04fc2dcd2 for e3514235-4b06-11d1-ab04-00c04fc2dcd2@ncacn_ip_tcp:dc0.DOMAIN.ru[1024,seal] NT_STATUS_LOGON_FAILURE
ERROR(<class 'samba.drs_utils.drsException'>): DRS connection to dc0.domain.ru failed - drsException: DRS connection to dc0.DOMAIN.ru failed: (-1073741715, 'Logon failure')
  File "/usr/lib/python2.7/dist-packages/samba/netcmd/drs.py", line 39, in drsuapi_connect
    (ctx.drsuapi, ctx.drsuapi_handle, ctx.bind_supported_extensions) = drs_utils.drsuapi_connect(ctx.server, ctx.lp, ctx.creds)
  File "/usr/lib/python2.7/dist-packages/samba/drs_utils.py", line 54, in drsuapi_connect
    raise drsException("DRS connection to %s failed: %s" % (server, e))

не могу вылечить

Ссылка

←	wine .net 4.5.1 как установить в arch

Как изменить апплет в Cinnamon

→

Время на обоих различается более чем на 5 минут?

leonidko ★★★★
(19.07.16 16:42:08 MSK)

Ответ на: комментарий от leonidko 19.07.16 16:42:08 MSK

нет

kresh1
(19.07.16 17:32:41 MSK) автор топика

Ответ на: комментарий от kresh1 19.07.16 17:32:41 MSK

https://wiki.samba.org/index.php/Check_and_fix_DNS_entries_on_DC_joins

Выполняли?

leonidko ★★★★
(19.07.16 17:38:03 MSK)

Ответ на: комментарий от leonidko 19.07.16 17:38:03 MSK

конечно.добавлял записи схему в днс

kresh1
(19.07.16 19:50:51 MSK) автор топика

Ответ на: комментарий от kresh1 19.07.16 19:50:51 MSK

Дела в dc0 это 100% я не могу описать конкретно проблему, так как сервер достался от другого человека Сервер рабочий машины в домен входят , днс обновляется автоматически. Но вот проблема с репликацией Просто лог dc0

 tail -f /var/log/samba/log.samba
  Got user=[DC0$] domain=[DOMAIN] workstation=[DC0] len1=24 len2=242
[2016/07/19 21:33:09.598103,  3] ../source4/auth/ntlm/auth.c:270(auth_check_password_send)
  auth_check_password_send: Checking password for unmapped user [DOMAIN]\[DC0$]@[DC0]
  auth_check_password_send: mapped user is: [DOMAIN]\[DC0$]@[DC0]
[2016/07/19 21:33:09.600003,  2] ../source4/auth/ntlm/auth.c:429(auth_check_password_recv)
  auth_check_password_recv: sam_ignoredomain authentication for user [DOMAIN\DC0$] FAILED with error NT_STATUS_WRONG_PASSWORD
[2016/07/19 21:33:09.600048,  2] ../auth/gensec/spnego.c:716(gensec_spnego_server_negTokenTarg)
  SPNEGO login failed: NT_STATUS_WRONG_PASSWORD
[2016/07/19 21:33:09.605162,  3] ../source4/smbd/process_single.c:114(single_terminate)
  single_terminate: reason[dcesrv: NT_STATUS_CONNECTION_DISCONNECTED]

kresh1
(19.07.16 21:40:21 MSK) автор топика

Ответ на: комментарий от kresh1 19.07.16 21:40:21 MSK

До ввода второго dc

/source4/auth/ntlm/auth.c:429(auth_check_password_recv)
  auth_check_password_recv: sam_ignoredomain authentication for user [DOMAIN\DC0$] FAILED with error NT_STATUS_WRONG_PASSWORD

Коряво перевести .. не подходит пароль

лог когда подключен второй dc

quiring initiator credentials failed: kinit for DC0$@DOMAIN.RU failed (Looping detected inside krb5_get_in_tkt)

SPNEGO(gssapi_krb5) creating NEG_TOKEN_INIT failed: NT_STATUS_UNSUCCESSFUL

Тут же в пакете krb5. толи дело в шифровании.. толи еще что..

kresh1
(19.07.16 21:46:12 MSK) автор топика

Ответ на: комментарий от kresh1 19.07.16 21:46:12 MSK

Настройку Kerberos на второй машине делали?

Обе машины нормально резолвятся? Обратная запись тоже?

leonidko ★★★★
(19.07.16 22:30:56 MSK)

Ответ на: комментарий от leonidko 19.07.16 22:30:56 MSK

Да, обе машины в домене, резолвятся, записи dns есть как прямые, так и обратка

kresh1
(20.07.16 08:52:23 MSK) автор топика

Ответ на: комментарий от kresh1 20.07.16 08:52:23 MSK

domain.ru это заглушка для форума, что бы не светить? Или реальное имя?

Из своего опыта и прочитанного скажу, что реплицируются только учётные данные, а вот объекты групповой политики нет. И в ближайшее время не будет.

leonidko ★★★★
(20.07.16 09:37:00 MSK)

Ссылка

Ответ на: комментарий от kresh1 20.07.16 08:52:23 MSK

dc0

 
kinit administrator
Password for administrator@DOMAIN.RU:
root@dc0:/home/kresh# klist -e
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: administrator@DOMAIN.RU

Valid starting       Expires              Service principal
20.07.2016 09:47:37  20.07.2016 19:47:37  krbtgt/DOMAIN.RU@DOMAIN.RU
        renew until 21.07.2016 09:47:34, Etype (skey, tkt): aes256-cts-hmac-sha1-96, arcfour-hmac

samba_dnsupdate --verbose --all-names
IPs: ['192.168.40.241']
ldb_wrap open of secrets.ldb
Traceback (most recent call last):
  File "/usr/sbin/samba_dnsupdate", line 614, in <module>
    get_credentials(lp)
  File "/usr/sbin/samba_dnsupdate", line 125, in get_credentials
    raise e
RuntimeError: kinit for DC0$@DOMAIN.RU failed (Preauthentication failed)

kresh1
(20.07.16 09:49:32 MSK) автор топика

Ответ на: комментарий от kresh1 20.07.16 09:49:32 MSK

А разве можно использовать что-то кроме [A-a0-9] в имени пользователя? Особенно $

leonidko ★★★★
(21.07.16 17:16:28 MSK)

Ответ на: комментарий от leonidko 21.07.16 17:16:28 MSK

А где здесь ошибка? если вы про это

DC0$@DOMAIN.RU

то это не имя пользователя DC0 -имя $ -означает компьютер.

а имя пользователя было бы так

DC0@DOMAIN.RU

kresh1
(22.07.16 08:36:24 MSK) автор топика

Ответ на: комментарий от kresh1 22.07.16 08:36:24 MSK

Если даже вы и правы, укажите на ошибку, а желательно на действия по утранению ее

kresh1
(22.07.16 08:37:12 MSK) автор топика

Ссылка

Ответ на: комментарий от kresh1 22.07.16 08:36:24 MSK

У меня без знака $ было когда поднимал тестовый домен.

А вообще ч-з RSAT как имя пользователя и машины выглядит?

leonidko ★★★★
(22.07.16 09:38:29 MSK)

Ответ на: комментарий от leonidko 22.07.16 09:38:29 MSK

я могу сказать, что есть dc0, он работает примерно 2 года. все нормально.dhcp, ddns, но есть необходимость во втором dc Вот я не вводя второй машины в домен. На первом dc0 ввожу команду

samba_dnsupdate --verbose --all-names
IPs: ['192.168.40.241']
ldb_wrap open of secrets.ldb
Traceback (most recent call last):
  File "/usr/sbin/samba_dnsupdate", line 612, in <module>
    get_credentials(lp)
  File "/usr/sbin/samba_dnsupdate", line 125, in get_credentials
    raise e
RuntimeError: kinit for DC0$@DOMAIN.RU failed (Looping detected inside krb5_get_in_tkt)

тут проблема описана по подробнее (вторая половина поста) samba4.2 ad repl (комментарий)

по твоему запросу не догнал какую инфу нужно предоставить

kresh1
(22.07.16 10:06:08 MSK) автор топика