![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
Загадка была тут, и никто её не отгадал, хотя мысли в правильном направлении были.
Там действительно сломался керберос. Причём даже при включённом режиме диагностики (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters\LogLevel=1) в логах не было ВООБЩЕ НИЧЕГО про ошибки кербероса. Были сообщения про наведённые ошибки, в частности, “The RPC protocol sequence is not supported”, вероятно, случалось из-за попытки выполнить какие-то действия, требующие аутентификации, после того, как сама эта аутентификация не сработала.
Вот по комбинации наведённых ошибок и была найдена статья с рекомендацией принудительно перевести керберос в режим TCP (HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\ Kerberos\Parameters\MaxPacketSize=1).
С какого бодуна оно перестало на одной конкретной машине работать по UDP — загадка великая есть.
С какого бодуна быдлокодеры из Майкрософта решили, что максимальный размер UDP-пакета – 2000 байт, я тоже не знаю, но там так написано: “By default, the maximum size of datagram packets for which Windows Server 2003 uses UDP is 1,465 bytes. For Windows XP and for Windows 2000, this maximum is 2,000 bytes. Transmission Control Protocol (TCP) is used for any datagrampacket that is larger than this maximum.”
Почему те же быдлокодеры ниасилили вывести в лог хоть что-нибудь про неработающий керберос? Видимо, потому что быдлокодеры.
И как можно было так скрестить NTLM authentication с керберосом, чтобы разделяемые ресурсы на сервере успешно подключались, но в них ничего не было видно — это уже вообще за гранью разума.
В общем, ещё один повод считать, что для сколько-нибудь серьёзных задач Windows использовать не следует. Иначе придётся танцевать с бубном, пытаясь _угадать_, что же там сломалось.
Оригинал этой записи. Комментировать можно тут или там.
no subject
no subject
Да и в любом случае, система, которую проще переставить, чем понять, чтО в ней сломалось, и как его чинить, - это неправильная система.
no subject
no subject
no subject
no subject
но сама по себе история, да, феерична.
no subject
no subject
Одна Win7 внезапно переставила себе MTU на эзернете на 1504. Некоторые сетевые штуки перестали работать, причём иногда.
Попутно выяснилось, что сменить MTU в висте и семёрке -- совсем не самое простое занятие. Ref (http://networking.nitecruzr.net/2007/11/setting-mtu-in-windows-vista.html)
no subject
no subject
no subject
netsh или powershell - это логично и корректно отрабатывает из всяких скриптов.
no subject
Винда же указывает размер MTU с ethernet-заголовком в отличие от UNIX'ов, нет? Т.е. у неё дефолт типа 1514, и это UNIX-овые 1500?
no subject
no subject
no subject
no subject
no subject
no subject
no subject
Ну и испоганить сетевой драйвер до такой степени - это надо очень сильно постараться.
no subject
Такие вот дела.
no subject
Но тут машины более-менее одинаковые, и драйверы у них, соответственно, тоже.
no subject
Плюс не знаю применимо ли было в Вашем случае - на MS всегда лежала дока как делать troubleshoot kerberos - так там среди прочего был такой момент что при неверно работающем kerberos в security log могут идти success auth от анонимного пользователя. и если у Вас такое было, то могло оч сильно ускорить решение вопроса даже без прямых error events от kerberos
no subject
Конкретно такие сообщения я на сервере не припомню, но может просто не обратил внимания. Сообщения об успешной аутентификации анонимного пользователя - это более чем странная диагностика неработающей аутентификации.
no subject
сами по себе такие события конечно ни о чем не говорят, но в доке было описано, что в определенных случаях при неудачной попытке использовать kerberos, в security logs приходят Logon failed for null user, Logon failed for NT AUTHORITY\ANONYMOUS user и делается попытка использовать ntlm аутентификацию. там же в документе есть коды событий для успешных и нет поток аутентификации и для NTLM и для Kerberos.
скорее это мой предыдущий пост невнятный, чем метод диагностики странный. в моем случае мне не было куда отступать и я мирил не 1 клиентскую машину + 1 домен контроллер, а крупную корпоративную сеть с MSSQL/IIS/ Project серверами + кастомные приложения - и ничего - как оказалось документ работает.
no subject
Не в тему, но порадует ;) http://ifap-ru.livejournal.com/264929.html
no subject
no subject
no subject
no subject
Что в данном случае может сделать анонимный клиент - depends on. Получить IP от DHCP ИМХО ему невозбранно. Выползти во внешний Нет - тоже, а вот получить доступ к шарам, принтерам и т.д. - фигвам.
Может быть полезным завести на сервере имена клиентских ПК, чтобы понимать, в какой момент "опознование" клиента перестает срабатывать аутенификация. Правда я уже не помню, по какому признаку там идет опознавание ПК - по MAC или по IP, выданому DHCP (со всеми граблями по этому поводу)...
А вообще да, информативность в подобных случаях неимоверно доставляет: не работает локальный принтере - получите интерактивный траблшутер со всеми возможными вариантами, нет доступа к серверу - тишина. Наверное, это в целях безопасности, чтобы враг ни о чем не догадался ;)
no subject
no subject
no subject
не, там именно что на сервере была видна успешно залогиненная сессия от этого юзера, пришедшего с правильного компьютера.