☰

winbindd：kinit 成功但 ads_sasl_spnego_krb5_bind 失败：无法联系请求领域的任何 KDC

tag-icon • tag-icon samba kerberos winbind
winbindd：kinit 成功但 ads_sasl_spnego_krb5_bind 失败：无法联系请求领域的任何 KDC

在寻找原因时登录到加入 Active Directory 的 Samba 计算机速度很慢我强烈地感觉到我的日志文件中的以下错误可能是一个提示。

Apr  3 14:44:14 eu2 winbindd[19632]: [2014/04/03 14:44:14.166820,  0] ../source3/libads/sasl.c:994(ads_sasl_spnego_bind)
Apr  3 14:44:14 eu2 winbindd[19632]:   kinit succeeded but ads_sasl_spnego_krb5_bind failed: Cannot contact any KDC for requested realm

每个连接大约有 5 到 20 个这样的条目，我正在尝试了解问题出在哪里。经过几天的搜索，我能找到最接近的答案是另一个 SF 问题这表明可能存在 DNS 问题。

事实：

1/kinit工作了，我拿到了一张票

root@eu2:~# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: [email protected]

Valid starting       Expires              Service principal
04/03/2014 13:55:24  04/03/2014 23:55:24  krbtgt/[email protected]
        renew until 04/04/2014 13:55:19

2//etc/krb.conf是

[logging]
default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmind.log

[libdefaults]
dns_lookup_realm = true
dns_lookup_kdc = true
ticket_lifetime = 24h
forwardable = yes

[appdefaults]
pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}

此配置来自Samba 和 Active Directory 维基。

3/ 我检查了 DNS 是否正常工作（引用上面的 wiki）：

root@eu2:~# host -t srv _kerberos._tcp.DOMAIN.EXAMPLE.COM
;; Truncated, retrying in TCP mode.
_kerberos._tcp.DOMAIN.EXAMPLE.COM has SRV record 0 100 88 server1.etc.etc...
_kerberos._tcp.DOMAIN.EXAMPLE.COM has SRV record 0 100 88 server2.etc.etc...
(...)

4/winbind版本是4.1.6-Debian

5/ 浏览需要经过身份验证的机器的共享很快，并且不会生成错误日志。登录会生成错误日志。也许这是 PAM 问题？

知道日志中的错误消息意味着什么以及典型的根本原因是什么吗？

答案1

删除 avahi-daemon 可以修复我的机器上的问题。

我在这里找到了解决方案：https://lists.samba.org/archive/samba/2013-January/171069.html

答案2

您还可以检查 _msdcs 子域中的 SRV 条目吗？

http://www.samba.org/samba/docs/man/Samba-HOWTO-Collection/NetworkBrowsing.html#adsdnstech

相关内容