делаю по офф-вики, вот этой
дошел до секции создания кейтабов, создать кейтаб через msktutil не получается, выдает следующее:
denis@debianmail:~$ sudo msktutil -c -b "OU=SQUID" -s HTTP -k /etc/squid3/HTTP.keytab --computer-name squid --upn HTTP/squid.rus.local --server netserver.rus.local --verbose
-- init_password: Wiping the computer password structure
-- create_fake_krb5_conf: Created a fake krb5.conf file: /tmp/.msktkrb5.conf-AIdtmi
-- reload: Reloading Kerberos Context
-- finalize_exec: SAM Account Name is: squid$
-- try_machine_keytab_princ: Trying to authenticate for squid$ from local keytab...
-- try_machine_keytab_princ: Error: krb5_get_init_creds_keytab failed (Client not found in Kerberos database)
-- try_machine_keytab_princ: Authentication with keytab failed
-- try_machine_keytab_princ: Trying to authenticate for host/debianmail.rus.local from local keytab...
-- try_machine_keytab_princ: Error: krb5_get_init_creds_keytab failed (Client not found in Kerberos database)
-- try_machine_keytab_princ: Authentication with keytab failed
-- try_machine_password: Trying to authenticate for squid$ with password.
-- try_machine_password: Error: krb5_get_init_creds_keytab failed (Client not found in Kerberos database)
-- try_machine_password: Authentication with password failed
-- try_user_creds: Checking if default ticket cache has tickets...
-- finalize_exec: Authenticated using method 4
-- ldap_connect: Connecting to LDAP server: netserver.rus.local try_tls=YES
-- ldap_connect: Connecting to LDAP server: netserver.rus.local try_tls=NO
SASL/GSSAPI authentication started
SASL username: Администратор@RUS.LOCAL
SASL SSF: 56
SASL data security layer installed.
-- ldap_connect: LDAP_OPT_X_SASL_SSF=56
Error: ldap_connect failed
--> Is your kerberos ticket expired? You might try re-"kinit"ing.
-- ~KRB5Context: Destroying Kerberos Contextвсе это делалось в соответствии с 4-мя принципами использования msktutil на офф-вики.
тогда я создал кейтаб через ktpass.exe на AD вот так:
ktpass -princ HTTP/netserver.rus.local@RUS.LOCAL -mapuser squid@RUS.LOCAL -crypto des-cbc-md5 -pass squidpass -ptype KRB5_NT_SRV_HST -out C:/HTTP.keytabкейтаб сгенерил для юзера, т.к. для объекта компьютер генерить не получается - выдает что-то типа Ds CrackNames returned x05 blablabla. ktpass failed getting target domain for specified user.
созданный кейтаб скопировал на машину с проксей, сменил группу, назначил права (вообщем, сделал все по вики), но при проверке аутентификации командой kinit выдает следующее:
denis@debianmail:~$ kinit -V -k -t /etc/squid3/HTTP.keytab HTTP/netserver.rus.local
Using default cache: /tmp/krb5cc_1000
Using principal: HTTP/netserver.rus.local@RUS.LOCAL
Using keytab: /etc/squid3/HTTP.keytab
kinit: Generic preauthentication failure while getting initial credentialsDNS-записи для кербероса не создавал. (может, проблема в этом?)
чяднт? почему не работает msktutil? какие именно объекты на AD мне нужно создать? Компьютер и юзера или только юзера? Почему кейтаб через ktpass.exe создается только для юзера?
если будут нужны еще конфиги - скажите, я скину.
