Falha no login do Kerberos: não é possível resolver o endereço de rede do KDC no domínio solicitado - Kerio e Open Directory

Question

Estou tentando conectar o Kerio a uma instância do Open Directory. Estou usando o kinit para testar a configuração e recebo o seguinte:

$ kinit -V -S host/[email protected] [email protected]
Please enter the password for [email protected]:
Kerberos Login Failed: Cannot resolve network address for KDC in requested realm

Isso ocorre, embora eu tenha 100% de certeza de que a senha está correta. De qualquer forma, estou mais preocupado com a parte da mensagem que diz

Kerberos Login Failed: Cannot resolve network address for KDC in requested realm

Do servidor executando o OD e um segundo no servidor da casa, recebo a mesma mensagem de erro. Eu posso cavar e pingar server.domain.co.uk corretamente de ambos os servidores, então isso confunde minha mente sobre o que poderia estar errado.

Eu preciso que isso esteja funcionando antes que eu possa avançar e conectar a instância do Kerio ao meu OD.

edu.mit.kerberos

[libdefaults]
    default_realm = SERVER.domain.CO.UK
[realms]
    SERVER.domain.CO.UK = {
        admin_server = server.domain.co.uk
        kdc = server.domain.co.uk
    }
[domain_realm]
    domain.co.uk = SERVER.domain.CO.UK
    .domain.co.uk = SERVER.domain.CO.UK
[logging]
    admin_server = FILE:/var/log/krb5kdc/kadmin.log
    kdc = FILE:/var/log/krb5kdc/kdc.log

SERVER é o nome do host real da máquina em questão, e domain.co.uk é meu FQDN ou, pelo menos, substitui meu FQDN

Obrigado por qualquer ajuda.

    

Answer 1

Responder a perguntas antigas:

Esta edição IIRC acabou por ser uma combinação de coisas

• o DNS do domínio foi quebrado
• O servidor OSX foi borkeado, as atualizações não foram acessadas e configuração de serviço estava desaparecendo misteriosamente
• Existem três clones da mesma instância do servidor em execução no mesmo fio, mas para três empresas diferentes, todos usando os mesmos nomes de domínio
• e o kicker "conectado por meio de um wifi comum"

Uma vez que encontramos, oferecemos serviços de gerenciamento de rede para todos que compartilham esse espaço - e descobrimos que eles compartilhavam uma conexão de fibra - com todos os seus roteadores conectados uns aos outros por motivos de 'failover'.

Este foi o ponto que causou a cada empresa questões separadas - até que nós reconstruímos o lote:)

    

Answer 2

O kerberos principal é username @ realm, não username @ domain, e o reino é sensível a maiúsculas e minúsculas, portanto, tente seu kinit para [email protected], capitalizado exatamente da maneira que você tem o reino capitalizado em seu conf.

A distinção sutil entre server e realm é por que seu erro é tão difícil de interpretar - o que ele está tentando dizer é "Eu não sei qual seria o endereço do servidor para esse REALM - eu não posso igualar esse REALM para qualquer coisa no arquivo conf. "

    

Answer 3

Parece que suas declarações de REALM e KDC podem estar um pouco erradas.

Eu posso estar errado, mas estou pensando em

[libdefaults]

default_realm = SERVER.domain.CO.UK

[realms]

SERVER.domain.CO.UK = {

admin_server = server.domain.co.uk

kdc = server.domain.co.uk }

Você gostaria de colocar

[libdefaults]

default_realm = domain.CO.UK

[realms]

domain.CO.UK = {

admin_server = server.domain.co.uk

kdc = server.domain.co.uk }

    

Answer 4

[libdefaults]
default_realm = domain.CO.UK

[realms]
domain.CO.UK = {
  admin_server = server.domain.co.uk
  kdc = server.domain.co.uk
}

    

Answer 5

adicione isso em krb5.ini:

dns_lookup_kdc = true

    

Answer 6

Apenas caiu na mesma situação no Debian GNU / Linux jessie. Resolver dentro kinit simplesmente não funcionou. strace mostra que o kinit está pedindo o Avahi-daemon via lib-mdns. Eu removi o avahi e o kinit começou a trabalhar. O currículo - remova o avahi-daemon ou configure-o corretamente.