在不相连的命名空间中使用Kerberos进行身份validation

我的networking中有Kerberos问题。

我的Active Directory域名被configuration为"acme.com" 。 但是， DNS suffix是"wifi.acme.com" 。 在计算机（endpoint1）中，我尝试对端点2执行SMB查询

 dir \\\\endpoint2.wifi.acme.com\admin$ 

失败，出现以下错误：

“请求不被支持”。

• 基本的DNS以及如何设置Split Horizo​​n
• 本地DNS，Office 365和公开托pipe的网站
• 使用AD集成DNS将networking服务器移出networking
• 本地IPredirect到公共
• 在Windows DNS服务器中的DNS正向查找区域中redirect预先指定的站点

我有一个安全策略限制NTLM传出连接（networking安全：限制NTLM ：传出远程服务器的NTLMstream量）。

在Wireshark我可以看到Kerberos TGS请求返回一个错误：

“err-s-principal-unknown kerberos”。

我尝试了以下解决scheme，但没有成功：

1. 使用适当的DNS suffix更新msDS-AllowedDNSSuffixes属性。
2. 将主机名定义为Kerberos realm mappings （如在Kerberos-SSO-Handling-Disjointed-Active-Directory-and-UNIX-DNS中 ）

有没有这个问题的解决scheme，而不修改DNS suffix或Active Directory domain具有相同的名称？

谢谢。