Назад | Перейти на главную страницу

MIT Kerberos продолжает запрашивать пароль при аутентификации в OpenSSH

Я пытаюсь настроить простую среду Kerberos, которая состоит из сервера Kerberos (KDC), клиентского компьютера и серверного компьютера, на котором запущен демон OpenSSH. Предполагается, что клиент должен пройти аутентификацию через Kerberos при установке SSH-соединения с сервером.

Имя пользователя Kerberos, которого я пытаюсь аутентифицировать: krbuser. Этот пользователь существует на служебном компьютере и имеет uid 1001. Странно то, что мне нужно ввести пароль пользователя Kerberos при входе по SSH. Каждый раз, когда я вхожу в систему. Не только для моего первого подключения. Это кажется странным, потому что весь смысл Kerberos состоит в аутентификации без пароля.

Я взял tcpdump во время процесса аутентификации и заметил, что клиент выполняет AS-REQ для KDC с помощью cname root. У этого имени пользователя Kerberos нет, и у меня есть нет идея, почему клиент использует это имя. Как и ожидалось, KDC отвечает eRR-C-PRINCIPAL-UNKNOWN сообщение, так как нет root пользователь в базе данных.

Мне кажется, что основная проблема заключается в том, что клиент пытается аутентифицироваться как root вместо того krbuser.

Я размещу некоторую информацию о моей текущей конфигурации ниже. Пожалуйста, дайте мне знать, если вам понадобится дополнительная информация.

На KDC:

/etc/krb5.conf

[logging]
    default = FILE:/usr/local/krb5/var/log/krb5lib.log 
    kdc = FILE:/usr/local/krb5/var/log/krb5kdc.log
    admin_server = FILE:/usr/local/krb5/var/log/kadmin.log

[libdefaults]
    default_realm = metz.prac.os3.nl
    rdns = false

# The following krb5.conf variables are only for MIT Kerberos.
    krb4_config = /etc/krb.conf
    krb4_realms = /etc/krb.realms
    kdc_timesync = 1
    ccache_type = 4
    forwardable = true
    proxiable = true

[realms]
    metz.prac.os3.nl = {
        kdc = krb-0.metz.prac.os3.nl
        admin_server = krb-0.metz.prac.os3.nl
    }

На сервисной машине:

/etc/ssh/sshd config (отрывок)

# Kerberos options
KerberosAuthentication yes
# KerberosGetAFSToken no
# KerberosOrLocalPasswd no
# KerberosTicketCleanup yes

# GSSAPI options
GSSAPIAuthentication yes
# GSSAPICleanupCredentials yes

Сохраненные файлы журнала во время аутентификации SSH:

debug1: rekey after 4294967296 blocks [preauth]
debug1: SSH2_MSG_NEWKEYS received [preauth]
debug1: KEX done [preauth]
debug1: userauth-request for user root service ssh-connection method none [preauth]
debug1: attempt 0 failures 0 [preauth]
debug1: PAM: initializing for "root"
debug1: PAM: setting PAM_RHOST to "218.65.30.30"
debug1: PAM: setting PAM_TTY to "ssh"
debug1: userauth-request for user root service ssh-connection method password [preauth]
debug1: attempt 1 failures 0 [preauth]
debug1: temporarily_use_uid: 0/0 (e=0/0)
debug1: restore_uid: 0/0
debug1: Kerberos password authentication failed: Client 'root@metz.prac.os3.nl' not found in Kerberos database
debug1: krb5_cleanup_proc called
debug1: inetd sockets after dupping: 5, 5
Connection from 145.100.110.115 port 51946 on 145.100.110.116 port 22
debug1: Client protocol version 2.0; client software version OpenSSH_7.2p2 Ubuntu-4ubuntu2.2
debug1: match: OpenSSH_7.2p2 Ubuntu-4ubuntu2.2 pat OpenSSH* compat 0x04000000
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_7.2p2 Ubuntu-4ubuntu2.2
debug1: permanently_set_uid: 106/65534 [preauth]
debug1: list_hostkey_types: ssh-rsa,rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519 [preauth]
debug1: SSH2_MSG_KEXINIT sent [preauth]
debug1: SSH2_MSG_KEXINIT received [preauth]
debug1: kex: algorithm: curve25519-sha256@libssh.org [preauth]
debug1: kex: host key algorithm: ecdsa-sha2-nistp256 [preauth]
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none [preauth]
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none [preauth]
debug1: expecting SSH2_MSG_KEX_ECDH_INIT [preauth]
debug1: rekey after 134217728 blocks [preauth]
debug1: SSH2_MSG_NEWKEYS sent [preauth]
debug1: expecting SSH2_MSG_NEWKEYS [preauth]
debug1: rekey after 134217728 blocks [preauth]
debug1: SSH2_MSG_NEWKEYS received [preauth]
debug1: KEX done [preauth]
debug1: userauth-request for user krbuser service ssh-connection method none [preauth]
debug1: attempt 0 failures 0 [preauth]
debug1: PAM: initializing for "krbuser"
debug1: PAM: setting PAM_RHOST to "145.100.110.115"
debug1: PAM: setting PAM_TTY to "ssh"
debug1: userauth-request for user krbuser service ssh-connection method gssapi-with-mic [preauth]
debug1: attempt 1 failures 0 [preauth]
debug1: PAM: password authentication failed for root: Authentication failure
Failed password for root from 218.65.30.30 port 18460 ssh2
debug1: userauth-request for user root service ssh-connection method password [preauth]
debug1: attempt 2 failures 1 [preauth]
debug1: temporarily_use_uid: 0/0 (e=0/0)
debug1: restore_uid: 0/0
debug1: Kerberos password authentication failed: Client 'root@metz.prac.os3.nl' not found in Kerberos database
debug1: krb5_cleanup_proc called
debug1: PAM: password authentication failed for root: Authentication failure
Failed password for root from 218.65.30.30 port 18460 ssh2
debug1: userauth-request for user root service ssh-connection method password [preauth]
debug1: attempt 3 failures 2 [preauth]
debug1: temporarily_use_uid: 0/0 (e=0/0)
debug1: restore_uid: 0/0
debug1: Kerberos password authentication failed: Client 'root@metz.prac.os3.nl' not found in Kerberos database
debug1: krb5_cleanup_proc called
debug1: PAM: password authentication failed for root: Authentication failure
Failed password for root from 218.65.30.30 port 18460 ssh2
debug1: userauth-request for user krbuser service ssh-connection method password [preauth]
debug1: attempt 2 failures 0 [preauth]
debug1: temporarily_use_uid: 1001/1001 (e=0/0)
debug1: restore_uid: 0/0
debug1: temporarily_use_uid: 1001/1001 (e=0/0)
debug1: restore_uid: 0/0
debug1: do_pam_account: called
Accepted password for krbuser from 145.100.110.115 port 51946 ssh2
debug1: monitor_child_preauth: krbuser has been authenticated by privileged process
debug1: monitor_read_log: child log fd closed
debug1: temporarily_use_uid: 1001/1001 (e=0/0)
debug1: ssh_gssapi_storecreds: Not a GSSAPI mechanism
debug1: restore_uid: 0/0
debug1: PAM: establishing credentials
User child is on pid 20617
debug1: SELinux support disabled
debug1: PAM: establishing credentials
debug1: permanently_set_uid: 1001/1001
debug1: rekey after 134217728 blocks
debug1: rekey after 134217728 blocks
debug1: ssh_packet_set_postauth: called
debug1: Entering interactive session for SSH2.
debug1: server_init_dispatch_20
debug1: server_input_channel_open: ctype session rchan 0 win 1048576 max 16384
debug1: input_session_request
debug1: channel 0: new [server-session]
debug1: session_new: session 0
debug1: session_open: channel 0
debug1: session_open: session 0: link with channel 0
debug1: server_input_channel_open: confirm session
debug1: server_input_global_request: rtype no-more-sessions@openssh.com want_reply 0
debug1: server_input_channel_req: channel 0 request pty-req reply 1
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req pty-req
debug1: Allocating pty.
debug1: session_new: session 0
debug1: SELinux support disabled
debug1: session_pty_req: session 0 alloc /dev/pts/2
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request env reply 0
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req env
debug1: server_input_channel_req: channel 0 request shell reply 1
debug1: session_by_channel: session 0 channel 0
debug1: session_input_channel_req: session 0 req shell
Starting session: shell on pts/2 for krbuser from 145.100.110.115 port 51946 id 0
debug1: Setting controlling tty using TIOCSCTTY.
debug1: userauth-request for user root service ssh-connection method password [preauth]
debug1: attempt 4 failures 3 [preauth]
debug1: temporarily_use_uid: 0/0 (e=0/0)
debug1: restore_uid: 0/0
debug1: Kerberos password authentication failed: Client 'root@metz.prac.os3.nl' not found in Kerberos database
debug1: krb5_cleanup_proc called
debug1: PAM: password authentication failed for root: Authentication failure
Failed password for root from 218.65.30.30 port 18460 ssh2
debug1: userauth-request for user root service ssh-connection method password [preauth]
debug1: attempt 5 failures 4 [preauth]
debug1: temporarily_use_uid: 0/0 (e=0/0)
debug1: restore_uid: 0/0
debug1: Kerberos password authentication failed: Client 'root@metz.prac.os3.nl' not found in Kerberos database
debug1: krb5_cleanup_proc called
debug1: PAM: password authentication failed for root: Authentication failure
Failed password for root from 218.65.30.30 port 18460 ssh2
debug1: userauth-request for user root service ssh-connection method password [preauth]
debug1: attempt 6 failures 5 [preauth]
debug1: temporarily_use_uid: 0/0 (e=0/0)
debug1: restore_uid: 0/0
debug1: Kerberos password authentication failed: Client 'root@metz.prac.os3.nl' not found in Kerberos database
debug1: krb5_cleanup_proc called
debug1: PAM: password authentication failed for root: Authentication failure
Failed password for root from 218.65.30.30 port 18460 ssh2
maximum authentication attempts exceeded for root from 218.65.30.30 port 18460 ssh2 [preauth]
Disconnecting: Too many authentication failures [preauth]
debug1: do_cleanup [preauth]
debug1: monitor_read_log: child log fd closed
debug1: do_cleanup
debug1: PAM: cleanup
debug1: Killing privsep child 20604
debug1: audit_event: unhandled event 12
debug1: inetd sockets after dupping: 5, 5
Connection from 218.65.30.30 port 58146 on 145.100.110.116 port 22
debug1: Client protocol version 2.0; client software version nsssh2_4.0.0032 NetSarang Computer, Inc.
debug1: no match: nsssh2_4.0.0032 NetSarang Computer, Inc.
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_7.2p2 Ubuntu-4ubuntu2.2
debug1: permanently_set_uid: 106/65534 [preauth]
debug1: list_hostkey_types: ssh-rsa,rsa-sha2-512,rsa-sha2-256,ecdsa-sha2-nistp256,ssh-ed25519 [preauth]
debug1: SSH2_MSG_KEXINIT sent [preauth]
debug1: SSH2_MSG_KEXINIT received [preauth]
debug1: kex: algorithm: diffie-hellman-group14-sha1 [preauth]
debug1: kex: host key algorithm: ssh-rsa [preauth]
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha1 compression: none [preauth]
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha1 compression: none [preauth]
debug1: expecting SSH2_MSG_KEXDH_INIT [preauth]

На клиентской машине:

kinit и klist перед аутентификацией:

$ kinit -p krbuser
$ klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: krbuser@metz.prac.os3.nl

Valid starting     Expires            Service principal
06/15/17 00:24:05  06/15/17 10:24:05  krbtgt/metz.prac.os3.nl@metz.prac.os3.nl
    renew until 06/16/17 00:23:56

/etc/ssh/ssh config (отрывок):

    GSSAPIAuthentication yes
    GSSAPIDelegateCredentials yes
#   GSSAPIKeyExchange no
#   GSSAPITrustDNS no

И, наконец, аутентификация SSH:

$ ssh krbuser@service-0.metz.prac.os3.nl -vvv
...
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 19: Applying options for *
debug2: resolving "service-0.metz.prac.os3.nl" port 22
debug2: ssh_connect_direct: needpriv 0
debug1: Connecting to service-0.metz.prac.os3.nl [145.***.***.***] port 22.
debug1: Connection established.
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_rsa type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_rsa-cert type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_dsa type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_dsa-cert type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_ecdsa type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_ecdsa-cert type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_ed25519 type -1
debug1: key_load_public: No such file or directory
debug1: identity file /home/client/.ssh/id_ed25519-cert type -1
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_7.2p2 Ubuntu-4ubuntu2.2
debug1: Remote protocol version 2.0, remote software version OpenSSH_7.2p2 Ubuntu-4ubuntu2.2
...
debug1: Found key in /home/client/.ssh/known_hosts:3
debug3: send packet: type 21
debug2: set_newkeys: mode 1
debug1: rekey after 134217728 blocks
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug3: receive packet: type 21
debug2: set_newkeys: mode 0
debug1: rekey after 134217728 blocks
debug1: SSH2_MSG_NEWKEYS received
debug2: key: /home/client/.ssh/id_rsa ((nil))
debug2: key: /home/client/.ssh/id_dsa ((nil))
debug2: key: /home/client/.ssh/id_ecdsa ((nil))
debug2: key: /home/client/.ssh/id_ed25519 ((nil))
debug3: send packet: type 5
debug3: receive packet: type 7
debug1: SSH2_MSG_EXT_INFO received
debug1: kex_input_ext_info: server-sig-algs=<rsa-sha2-256,rsa-sha2-512>
debug3: receive packet: type 6
debug2: service_accept: ssh-userauth
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug3: send packet: type 50
debug3: receive packet: type 51
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug3: start over, passed a different list publickey,gssapi-keyex,gssapi-with-mic,password
debug3: preferred gssapi-keyex,gssapi-with-mic,publickey,keyboard-interactive,password
debug3: authmethod_lookup gssapi-keyex
debug3: remaining preferred: gssapi-with-mic,publickey,keyboard-interactive,password
debug3: authmethod_is_enabled gssapi-keyex
debug1: Next authentication method: gssapi-keyex
debug1: No valid Key exchange context
debug2: we did not send a packet, disable method
debug3: authmethod_lookup gssapi-with-mic
debug3: remaining preferred: publickey,keyboard-interactive,password
debug3: authmethod_is_enabled gssapi-with-mic
debug1: Next authentication method: gssapi-with-mic
debug3: send packet: type 50
debug2: we sent a gssapi-with-mic packet, wait for reply
debug3: receive packet: type 51
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug3: send packet: type 50
debug2: we sent a gssapi-with-mic packet, wait for reply
debug3: receive packet: type 51
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug3: send packet: type 50
debug2: we sent a gssapi-with-mic packet, wait for reply
debug3: receive packet: type 51
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug3: send packet: type 50
debug2: we sent a gssapi-with-mic packet, wait for reply
debug3: receive packet: type 51
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug2: we did not send a packet, disable method
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
...
debug1: Next authentication method: password
krbuser@service-0.metz.prac.os3.nl's password: <entering PW of Kerberos user> !!!
debug3: send packet: type 50
debug2: we sent a password packet, wait for reply
debug3: receive packet: type 52
debug1: Authentication succeeded (password).
Authenticated to service-0.metz.prac.os3.nl ([145.***.***.***]:22).
debug1: channel 0: new [client-session]
debug3: ssh_session2_open: channel_new: 0
debug2: channel 0: send open
debug3: send packet: type 90
debug1: Requesting no-more-sessions@openssh.com
debug3: send packet: type 80
debug1: Entering interactive session.
debug1: pledge: network
debug3: receive packet: type 80
debug1: client_input_global_request: rtype hostkeys-00@openssh.com want_reply 0
debug3: receive packet: type 91
debug2: callback start
debug2: fd 3 setting TCP_NODELAY
debug3: ssh_packet_set_tos: set IP_TOS 0x10
debug2: client_session2_setup: id 0
debug2: channel 0: request pty-req confirm 1
debug3: send packet: type 98
...
debug3: Ignored env _
debug2: channel 0: request shell confirm 1
debug3: send packet: type 98
debug2: callback done
debug2: channel 0: open confirm rwindow 0 rmax 32768
debug3: receive packet: type 99
debug2: channel_input_status_confirm: type 99 id 0
debug2: PTY allocation request accepted on channel 0
debug2: channel 0: rcvd adjust 2097152
debug3: receive packet: type 99
debug2: channel_input_status_confirm: type 99 id 0
debug2: shell request accepted on channel 0
Last login: Thu Jun 15 00:28:57 2017

Connection established

Сейчас klist показывает следующие билеты:

$ klist
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: krbuser@metz.prac.os3.nl

Valid starting     Expires            Service principal
06/15/17 00:24:05  06/15/17 10:24:05  krbtgt/metz.prac.os3.nl@metz.prac.os3.nl
    renew until 06/16/17 00:23:56
06/15/17 00:27:37  06/15/17 10:24:05  host/service-0.metz.prac.os3.nl@
    renew until 06/16/17 00:23:56
06/15/17 00:27:37  06/15/17 10:24:05  host/service-0.metz.prac.os3.nl@metz.prac.os3.nl
    renew until 06/16/17 00:23:56

Итак, подведем итог: пользователь Kerberos на клиенте может установить сеанс SSH с сервером, введя свой пароль Kerberos (!). Не его пароль UNIX. Tcpdump показал, что клиент аутентифицируется как root который не является пользователем Kerberos, и я понятия не имею, почему он использует это имя пользователя вместо krbuser. Какую я использовал с kinit команда.

Может ли кто-нибудь сказать мне, почему эта аутентификация не работает правильно? Пожалуйста, дайте мне знать, если вам понадобится дополнительная информация. Я старался быть кратким.

Логин root

Судя по предоставленным вами файлам журнала, я бы сказал, что попытка входа в систему root не ваша проблема Вот. Обратите внимание, что все попытки аутентификации с правами root исходят от 218.65.30.30, простой whois Команда сообщает нам, что это IP из Китая. Другие IP-адреса, которые успешно участвуют в этой аутентификации 145.100.110.11{5,6} оба исходят из одного сетевого блока (управляемого университетом). Предполагаю, что это интересующие ваши машины. Я также очень рекомендую установить что-то вроде fail2ban который блокирует IP-адреса, которые пытаются перебить вас.

SSH

Теперь приступим к решению вашей проблемы с Kerberos. Я недавно настроил среду Kerberos, это было непросто, поэтому я чувствую вашу боль! Ваша конфигурация SSH выглядит нормально так что мы можем это исключить. Хотя с точки зрения безопасности вы, возможно, захотите рассмотреть, устанавливает GSSAPIDelegateCredentials yes в твоем /etc/ssh/ssh_config на самом деле требуется? Хотя этот вариант удобен, ваш TGT будет доступен для любого компьютера, на котором вы используете SSH.

Кеберос предостережения

Две основные вещи, к которым чувствительны настройки Kerberos, - это временной сдвиг и разрешение имен. думаю перекос времени вряд ли будет вашей проблемой здесь. Хотя было бы легче подтвердить это с помощью журналов Kerberos. Большинство современных дистрибутивов GNU / Linux поставляются с уже установленным сетевым временем. Вы можете проверить это, используя что-то вроде timedatectl. Вам также следует убедитесь, что прямой и обратный DNS настроены правильно для каждого хоста в вашей среде.

Отступление о сферах - хотя это не всегда строго требуется, соглашение заключается в том, чтобы держать вашу область в ВЕРХНЕМ РЕГИСТРЕ. Это абсолютно необходимо, когда вы работаете в смешанных средах GNU / Linux и Windows, иногда это приводит к полному сбою в работе. Если вы в целом будете придерживаться этого правила, вы облегчите себе жизнь.

Соответствуют ли имена хостов именам DNS и именам ключей?

Главное, что меня здесь бросает в глаза, - это билет службы, который у вас есть с пустой областью, то есть от SPN. host/service-0.metz.prac.os3.nl@. Мне, это пахнет чем-то странным, что происходит с вашей сетью. Похоже, твой default_realm установлен правильно, поэтому Я думаю, что проблема в конечных хостах. Чтобы отладить это, я бы рекомендовал запустить новый экземпляр sshd в службе с дополнительным журналированием (sudo /usr/sbin/sshd -p 9001 -D -dd), затем попробуйте подключиться с клиента (ssh -p 9001 -vv krbuser@service-0.metz.prac.os3.nl). Это покажет вам с обеих сторон, что именно происходит во время аутентификации и какие SPN фактически используются.

Недавно у меня возникла проблема, когда аутентификация не удалась, потому что служба, к которой я подключался, не знала своего собственного FQDN (т.е. служба пыталась найти запись keytab для host/service-0@REALM вместо того host/service-0.rest.of.domain@REALM). Вы можете проверить это, используя hostname --fqdn, если это не возвращает полное DNS-имя системы, вы можете отредактировать /etc/hosts. Убедитесь, что вывод hostname --fqdn совпадает с тем, что находится в DNS.

В заключение, убедитесь, что у вас есть файл keytab для каждого хоста с правильным SPN. Это должно выглядеть так host/service-0.rest.of.domain@REALM. Вы можете проверить содержимое файла keytab, используя klist -k /path/to/keytab. Удачной отладки! Я знаю, каким разочарованием может быть Kerberos.

Ядерный вариант

Если вы все еще находитесь на очень ранней стадии настройки, может быть проще убить настройку огнем и начать с нуля :). Помните обо всем этом и следуя хорошему руководству, вы можете сэкономить время в долгосрочной перспективе.

Следует учитывать несколько моментов:

1. Можете ли вы получить сервисный билет на своей клиентской машине?

Убедитесь, что вы можете получить билет на услугу, которую хотите использовать. Для SSH это обычно host / @ REALM или в вашем случае host/service-0.metz.prac.os3.nl@metz.prac.os3.nl. Если ты бежишь kvno host/service-0.metz.prac.os3.nl@metz.prac.os3.nl на клиентской машине (где вы также запускаете ssh) он должен сообщить вам номер версии ключа, и билет должен появиться в вашем klist.

2. Правильно ли вы установили синхронизацию по времени?

Убедитесь, что на обеих машинах установлено одинаковое время и часовой пояс (в противном случае время может быть одинаковым, но в другом часовом поясе). Вероятно, проще всего настроить NTP на всех машинах, на которых выполняется Kerberos.

3. Вы добавляли принципалов хоста в /etc/krb5.keytab?

На машине, к которой вы подключаетесь, должны быть записи для основного узла (host / @ REALM) с правильным номером версии ключа (тем, который вы определили на шаге 1). Файл также должен быть доступен для чтения sshd

4. Правильно ли вы поняли основы работы с сетью?

Kerberos действительно любит пересылку DNS и обратный DNS. Фактически, самые странные проблемы с Kerberos, которые мне до сих пор приходилось отлаживать, были связаны с нарушением разрешения DNS, обратным DNS, не указывающим на полное доменное имя хоста, неправильно настроенными именами хостов и т. Д.

Убедитесь, что все хосты могут разрешить все остальные хосты вперед и обеспечить регресс. Также убедитесь, что имя хоста настроено правильно (с участием domainname) на всех машинах. Команды hostname, hostname -f, hostname -s и hostname -i должен возвращать разумные результаты.

Сказав все это: пожалуйста, подумайте о переименовании вашего королевства. Де-факто стандартом для областей Kerberos является ALL.CAPS. Поэтому, когда вы перестраиваете свою лабораторию или начинаете с производственной среды, это должно быть ALL.IN.UPPER.CASE, то есть «METZ.PRAC.OS3.NL». Это просто условность, но, может быть, кто-то на это рассчитывает. Также теперь вы можете отличить свой DNS-домен от своего царства, просто взглянув на него :)

Вы добавили имя клиентской машины к принципалам?
мы можем использовать эту команду listprincs или list_principalsчтобы перечислить эту информацию, например:

Также мы должны добавить учетную запись пользователя krbuser к KDC, client1 и client2, таким образом, мы можем использовать клиент 1 для ssh-клиента 2 с Kerberos.

Вот моя лаборатория:
сервер: kerberos.example.com
клиент: client.example.com
client2: client2.example.com

KDC сервер:
/etc/krb5.conf 

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 dns_lookup_realm = false
 ticket_lifetime = 24h
 renew_lifetime = 7d
 forwardable = true
 rdns = false
 default_realm = EXAMPLE.COM
 default_ccache_name = KEYRING:persistent:%{uid}

[realms]
 EXAMPLE.COM = {
  kdc = kerberos.example.com
  admin_server = kerberos.example.com
 }

[domain_realm]
 .example.com = EXAMPLE.COM
 example.com = EXAMPLE.COM

/var/kerberos/krb5kdc/kdc.conf 

[kdcdefaults]
 kdc_ports = 88
 kdc_tcp_ports = 88

[realms]
 EXAMPLE.COM = {
  master_key_type = aes256-cts
  default_principal_flags = +preauth  
  acl_file = /var/kerberos/krb5kdc/kadm5.acl
  dict_file = /usr/share/dict/words
  admin_keytab = /var/kerberos/krb5kdc/kadm5.keytab
  supported_enctypes = aes256-cts:normal aes128-cts:normal des3-hmac-sha1:normal arcfour-hmac:normal camellia256-cts:normal camellia128-cts:normal des-hmac-sha1:normal des-cbc-md5:normal des-cbc-crc:normal
 }

/ и т.д. / SSH / sshd_conf

# Kerberos options
#KerberosAuthentication yes
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
#KerberosUseKuserok yes

# GSSAPI options
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no
#GSSAPIEnablek5users no

Клиент:

/etc/krb5.conf тем же в качестве сервера, или вы можете скопировать серверный файл krb5.conf на этого клиента.
/etc/ssh/sshd_conf тем же как сервер.

client2:

/etc/krb5.conf тем же в качестве сервера, или вы можете скопировать серверный файл krb5.conf на этого клиента.
/etc/ssh/sshd_conf тем же как сервер.

результат:

Мы должны добавить учетную запись пользователя на сервер, клиент и клиент2, в моем тесте я добавляю user01 к сервер, клиент и клиент2.

Сервер:

[user01@kerberos ~]$ klist
Ticket cache: KEYRING:persistent:1001:1001
Default principal: user01@EXAMPLE.COM

Valid starting       Expires              Service principal
06/16/2017 07:18:18  06/17/2017 07:18:18  krbtgt/EXAMPLE.COM@EXAMPLE.COM

Клиент

[root@client ~]# su - user01
Last login: Fri Jun 16 08:16:28 UTC 2017 from client2.example.com on pts/1
[user01@client ~]$ klist
Ticket cache: KEYRING:persistent:1001:1001
Default principal: user01@EXAMPLE.COM

Valid starting       Expires              Service principal
06/16/2017 08:16:27  06/17/2017 08:16:27  krbtgt/EXAMPLE.COM@EXAMPLE.COM

Клиент2

[root@client2 jason]# su - user01
Last login: Fri Jun 16 08:18:51 UTC 2017 on pts/0
[user01@client2 ~]$ klist
Ticket cache: KEYRING:persistent:1003:1003
Default principal: user01@EXAMPLE.COM

Valid starting       Expires              Service principal
06/16/2017 08:18:58  06/17/2017 08:18:54  krbtgt/EXAMPLE.COM@EXAMPLE.COM

После этого мы можем использовать user01 по ssh от client2 к клиенту:

[root@client2 jason]# ssh user01@client.example.com
Password: 
Last login: Fri Jun 16 08:17:59 2017
[user01@client ~]$

Примечание:

Используйте kerberos, которое мы должны использовать одновременно, мы должны установить NTP для них в своей лаборатории я создаю их в Azure, у них то же время.

Также мы должны добавить имя клиентской машины к принципалам.