URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID14
Нить номер: 1253
[ Назад ]
Исходное сообщение
"Winbind работает 5 минут"
Отправлено rakshas , 17-Мрт-07 18:13 
Доброе время суток.
Нужна помощь.
Есть SAMBA 3.0.24 и домен на базе Windows 2003 SP1(ADS).
конфин самбы
[global]
workgroup = DOMAIN
server string = Samba-server %v Proxy Server
security = ADS
encrypt passwords = yes
log file = /var/log/samba/log.%U
max log size = 50
password server = dc1 dc2
realm = DOAMIN.COM
netbios name = PROXY
winbind uid = 10000-20000
winbind gid = 10000-20000
winbind enum groups = yes
winbind enum users = yes
winbind use default domain = yes

конфиг krb5.conf
[libdefaults]
        default_realm  = DOMAIN.COM
        default_etypes     = des-cbc-crc des-cbc-md5
        default_etypes_des = des-cbc-crc des-cbc-md5
[realms]
        DOMAIN.COM = {
        kdc = dc1.domain.com
        kdc = dc2.domain.com
        admin_server = dc1.domain.com
        kpasswd_server = dc1.domain.com
        default_domain = domain.com
        }
[domain_realms]
        .domain.com = DOMAIN.COM
        domai.com = DOMAIN.COM

все чудно получает тикеты керберос. Замечательно вводится в домен по net ads join.
wbinfo -t, wbinfo -u, wbinfo -g, wbinfo -m, - все проходит и все выдает честно. НО!
Но работает 5 минут.
(5 минут параметр winbind по умолчанию winbind cache time = 300 сек, Хотя может просто совпадает.) По истечение этого времени при попытке набрать wbinfo -t получаю вот это :
checking the trust secret via RPC calls failed
error code was NT_STATUS_ACCESS_DENIED (0xc0000022)
Could not check secret

Как следствие отваливается автризация в squid.
В домене отключил обязательную подпись клиентов. Параметр --set-auth-user для wbinfo задавал.
Помогает только переввод в домен. Но каждве 5 минут перевводить в домен. Это полная ерунда.Помогите советом люди добрые!

Содержание
Сообщения в этом обсуждении
"Winbind работает 5 минут"
Отправлено rakshas , 18-Мрт-07 00:25 
>Доброе время суток.
>Нужна помощь.
>Есть SAMBA 3.0.24 и домен на базе Windows 2003 SP1(ADS).
>конфин самбы
>[global]
>workgroup = DOMAIN
>server string = Samba-server %v Proxy Server
>security = ADS
>encrypt passwords = yes
>log file = /var/log/samba/log.%U
>max log size = 50
>password server = dc1 dc2
>realm = DOAMIN.COM
>netbios name = PROXY
>winbind uid = 10000-20000
>winbind gid = 10000-20000
>winbind enum groups = yes
>winbind enum users = yes
>winbind use default domain = yes
>
>конфиг krb5.conf
>[libdefaults]
>        default_realm  = DOMAIN.COM
>
>        default_etypes    
> = des-cbc-crc des-cbc-md5
>        default_etypes_des = des-cbc-crc des-cbc-md5
>
>[realms]
>        DOMAIN.COM = {
>        kdc = dc1.domain.com
>        kdc = dc2.domain.com
>        admin_server = dc1.domain.com
>        kpasswd_server = dc1.domain.com
>        default_domain = domain.com
>        }
>[domain_realms]
>        .domain.com = DOMAIN.COM
>        domai.com = DOMAIN.COM
>
>все чудно получает тикеты керберос. Замечательно вводится в домен по net ads
>join.
>wbinfo -t, wbinfo -u, wbinfo -g, wbinfo -m, - все проходит и
>все выдает честно. НО!
>Но работает 5 минут.
>(5 минут параметр winbind по умолчанию winbind cache time = 300 сек,
>Хотя может просто совпадает.) По истечение этого времени при попытке набрать
>wbinfo -t получаю вот это :
>checking the trust secret via RPC calls failed
>error code was NT_STATUS_ACCESS_DENIED (0xc0000022)
>Could not check secret
>
>Как следствие отваливается автризация в squid.
>В домене отключил обязательную подпись клиентов. Параметр --set-auth-user для wbinfo задавал.
>Помогает только переввод в домен. Но каждве 5 минут перевводить в домен.
>Это полная ерунда.Помогите советом люди добрые!


Проверил winbind cache time - непричем. Да, система FreeBSD 6.2.

"Winbind работает 5 минут"
Отправлено antoshkin , 18-Мрт-07 22:59 
ИМХО надо ковырять керберос.
Может у тебя время рассинхронизировано?
Еще в krb.conf все имена надо указывать заглавными буквами.
"Winbind работает 5 минут"
Отправлено rakshas , 18-Мрт-07 23:18 
>ИМХО надо ковырять керберос.
>Может у тебя время рассинхронизировано?
>Еще в krb.conf все имена надо указывать заглавными буквами.
Нет со временем у меня все хорошо. Секунда в секуду. Иначе я бы тикет не получил.
Еще поправочка. У меня 2003 R2 домен и на этом сайте два контроллера домена стоят.
Пробовал указывать как password server оба. Все равно. krb5.conf рисовал строго с документации по самбе.

"Winbind работает 5 минут"
Отправлено jS_Bender , 25-Мрт-09 14:24 
>>ИМХО надо ковырять керберос.
>>Может у тебя время рассинхронизировано?
>>Еще в krb.conf все имена надо указывать заглавными буквами.
>Нет со временем у меня все хорошо. Секунда в секуду. Иначе я
>бы тикет не получил.
>Еще поправочка. У меня 2003 R2 домен и на этом сайте два
>контроллера домена стоят.
>Пробовал указывать как password server оба. Все равно. krb5.conf рисовал строго с
>документации по самбе.

автор напиши рещил проблему или нет