Ещё раз о Kerberos...

От: Alexander Lapshin <CGatePro_at_mx_ru>
Дата: Tue 07 Nov 2006 - 20:21:46 MSK

	Пробую кстановить Kerberos авторизацию.
	Почитал рассылку, сходил сюда http://unixgeek.nm.ru/krbsetup.html и 

сюда
http://pazan.mine.nu/index.php?name=PNphpBB2&file=viewtopic&t=8&highlight=kerberos вроде всё просто. У людей работает. А у меня почемуто не хочет.

	Делаю так как рекомендовано:
	Мой тестовый домен: DOMAIN.LOCAL
	Почтовый ност: MAIL.DOMAIN.LOCAL
	Cоздал в WIN 2003 AD юзера "cgatepro" с паролем "password", разрешил DES.
	Создаю keytab:

ktpass -princ imap/mail.domain.local@DOMAIN.LOCAL -mapuser cgatepro -pass password -out c:\tmp\keytab.dat -crypto DES-CBC-MD5 -ptype KRB5_NT_PRINCIPAL -kvno 2

        Keytab импортирую в CGP:

---
DAMAIN.LOCAL	(3)imap/mail.domain.local	01-01-1900 00:00:00	2	DES-MD5
---

	"-kvno 2" подобрал опытным путем. С другими значениями в kvno на 
клиенте светит "Unknown Kerberos ticket". А со значением "-kvno 2" на 
клиенте светит: "failed to verify Kerberos data".
	Вот что в логах на CGP v4.3.10(WIN32):
---
19:00:09.57 4 IMAP-00014([10.0.0.7]) got connection on [10.0.0.1:143]
19:00:09.57 5 IMAP-00014([10.0.0.7]) out: * OK IMAP Server at 
domain.local ready\r\n
19:00:09.57 5 IMAP-00014([10.0.0.7]) inp: 00000001 AUTHENTICATE GSSAPI 
YIIEjgYJKoZIhvcSAQICAQBuggR9MIIEeaADAgEFoQMCAQ6iBwMFACAAAACjggOpYYIDpTCCA6GgAwIBBaEMGwpESUVYLkxPQ0FMoiIwIKADAgECoRkwFxsEaW1hcBsPbWFpbC5kaWV4LmxvY2Fso4IDZjCCA2KgAwIBA6EDAgECooIDVASCA1AXr14ETG+8FXA5VkyD8QhLJfGneQ82J9OHho525kFgl+e8C
19:00:09.57 4 IMAP-00014([10.0.0.7]) SASL(GSSAPI) ini: 60 82 04 8E 06 09 
2A 86 48 86 F7 12 01 02 02 01 00 6E 82 04 7D 30 82 04 79 A0 03 02 01 05 
A1 03 02 01 0E A2 07 03 05 00 20 00 00 00 A3 82 03 A9 61 82 03 A5 30 82 
03 A1 A0 03 02 01 05 A1 0C 1B 0A 44 49 45 58 2E 4C 4F 43 41 4C A2 22 30 
20 A0 03
19:00:09.57 5 IMAP-00014([10.0.0.7]) out: 00000001 NO failed to verify 
Kerberos data\r\n
19:00:09.57 3 IMAP-00014([10.0.0.7]) read failed. Error Code=connection 
closed by peer
19:00:09.57 4 IMAP-00014([10.0.0.7]) closing connection
19:00:09.57 4 IMAP-00014([10.0.0.7]) releasing stream
---
	У пользователя включено: Kerberos Login Allow to Use: default(YES). 
Пользователь прописан с одинаковыми именами-паролями и в AD и в CGP и 
залогинен в Windows-AD-домен. MAPI-конектор используется последний.

	Что можно сделать, чтобы заработала Kerberos авторизация? Где я ошибся?

-- 
(c)ALex

Получено Tue Nov 07 17:22:02 2006