У меня есть следующий экспорт nfs:
/home/users 192.168.1.0/24(rw,sec=krb5p,no_subtree_check,nohide,async,anonuid=65534,anongid=65534)
При попытке установить это на клиенте я получаю:
client:/home # mount -t nfs4 -o sec=krb5p server:/home/users /home/users -vvv
mount.nfs4: timeout set for Sun May 12 21:13:56 2013
mount.nfs4: trying text-based options 'sec=krb5p,addr=192.168.1.2,clientaddr=192.168.1.62'
mount.nfs4: mount(2): Permission denied
mount.nfs4: access denied by server while mounting server:/home/users
На сервере syslog Я получил:
May 12 19:59:48 server krb5kdc[2704]: AS_REQ (4 etypes {18 17 16 23}) 192.168.1.62: NEEDED_PREAUTH: nfs/client.localdomain@REALM for krbtgt/REALM@REALM, Additional pre-authentication required
May 12 19:59:48 server krb5kdc[2704]: preauth (encrypted_timestamp) verify failure: Decrypt integrity check failed
May 12 19:59:48 server krb5kdc[2704]: AS_REQ (4 etypes {18 17 16 23}) 192.168.1.62: PREAUTH_FAILED: nfs/client.localdomain@REALM for krbtgt/REALM@REALM, Decrypt integrity check failed
Насколько я могу судить, вкладки клавиш установлены правильно:
клиент:
client:/home # ktutil
ktutil: rkt /etc/krb5.keytab
ktutil: list
slot KVNO Principal
---- ---- ---------------------------------------------------------------------
1 4 nfs/client.localdomain@REALM
2 4 nfs/client.localdomain@REALM
3 4 nfs/client.localdomain@REALM
4 4 nfs/client.localdomain@REALM
5 4 host/client.localdomain@REALM
6 4 host/client.localdomain@REALM
7 4 host/client.localdomain@REALM
8 4 host/client.localdomain@REALM
Сервер:
root@server:~# ktutil
ktutil: rkt /etc/krb5.keytab
ktutil: list
slot KVNO Principal
---- ---- ---------------------------------------------------------------------
1 3 host/server.localdomain@REALM
2 3 host/server.localdomain@REALM
3 3 host/server.localdomain@REALM
4 3 host/server.localdomain@REALM
5 2 cifs/server.localdomain@REALM
6 2 HTTP/server.localdomain@REALM
7 2 HTTP/server.localdomain@REALM
8 2 HTTP/server.localdomain@REALM
9 2 HTTP/server.localdomain@REALM
10 2 nfs/server.localdomain@REALM
11 2 nfs/server.localdomain@REALM
12 2 nfs/server.localdomain@REALM
13 2 nfs/server.localdomain@REALM
Проверка подлинности пользователя Kerberos с помощью kinit на клиенте работает нормально.
Когда я пытаюсь смонтировать то же самое nfs на самом сервере, это удается.
Что такое предварительная аутентификация и каковы возможные причины сбоя предварительной аутентификации?
В качестве справки для людей с аналогичной проблемой мне удалось решить ее, очистив ключи из файла keytab для пользователя, затем удалив пользователя, а затем снова добавив его. Пример:
# kadmin.local
кнопки очистки THEUSER
delprinc THEUSER
addprinc -randkey THEUSER
ktadd THEUSER
Затем распространите файл /etc/krb5.keytab среди всех клиентов.
это было не Достаточно просто удалить и переделать пользователя. Сначала мне пришлось очистить ключи.
Оказывается, восстановление клиентской вкладки каким-то образом устранило проблему.