Win7客户端在samba4 RODC上caching凭证失败

我正在为一个将samba4部署到1400个远程站点的客户build立一个testing环境，并且遇到了一个问题。 毕竟，我的工作是遇到问题，然后解决问题。

活动目录

• 森林根和单个域：main.adlab.netdirect.ca
• 在Windows 2008 R2上创build
• 2008 FFL
• 2008 DFL

总部

• AD1：Windows 2008 R2 DC
• AD2：Windows 2008 R2 DC
• Windows 7专业版客户端

分支机构

• 使用Samba 4的SLES11SP2（完全更新！）（来自sernet的4.1.1-7.suse111包）
• Samba 4configuration为RODC

我已经configuration了一个密码复制策略，以允许某些帐户在RODC上caching，然后将这些帐户填充到RODC：

sles-shire:~ # samba-tool rodc preload 'win7-shire$' --server main.adlab.netdirect.ca Replicating DN CN=WIN7-SHIRE,CN=Computers,DC=main,DC=adlab,DC=netdirect,DC=ca Exop on[CN=WIN7-SHIRE,CN=Computers,DC=main,DC=adlab,DC=netdirect,DC=ca] objects[1] linked_values[2] sles-shire:~ # samba-tool rodc preload 'win7-shire-2$' --server main.adlab.netdirect.ca Replicating DN CN=WIN7-SHIRE-2,CN=Computers,DC=main,DC=adlab,DC=netdirect,DC=ca Exop on[CN=WIN7-SHIRE-2,CN=Computers,DC=main,DC=adlab,DC=netdirect,DC=ca] objects[1] linked_values[1] sles-shire:~ # samba-tool rodc preload 'bilbo' --server main.adlab.netdirect.ca Replicating DN CN=Bilbo Baggins,OU=Shire,OU=Offices,DC=main,DC=adlab,DC=netdirect,DC=ca Exop on[CN=Bilbo Baggins,OU=Shire,OU=Offices,DC=main,DC=adlab,DC=netdirect,DC=ca] objects[1] linked_values[2] 

我知道这些凭据正在RODC上caching，因为如果我放弃站点链接，我可以logincaching的用户，但不是一个不同的用户：

 michael@sles-shire:~> smbclient //sles-shire.main.adlab.netdirect.ca/sysvol -U michael Enter michael's password: session setup failed: NT_STATUS_IO_TIMEOUT michael@sles-shire:~> smbclient //sles-shire.main.adlab.netdirect.ca/sysvol -U bilbo Enter bilbo's password: Domain=[MAIN] OS=[Unix] Server=[Samba 4.1.1-SerNet-SuSE-7.suse111] smb: \> ls . D 0 Mon Nov 18 16:09:44 2013 .. D 0 Mon Nov 18 16:11:15 2013 main.adlab.netdirect.ca D 0 Wed Nov 20 17:54:13 2013 

所以身份validation工作正常！ 但是，当我尝试login到Windows 7电脑（WIN7的SHIRE），我得到的错误：

• LDAPauthentication：Windows Server2k3与2k8
• 我的AD是否已经是LDAP服务器？
• 如何使用security / sssd将Active Directory与FreeBSD 10.0集成？
• “这个区域可以在”不断增加“之后被清除
• 如何启用BitLocker而不提示最终用户

发生内部错误。

啧啧。 谢谢。 如果我使用不正确的密码，我会得到：

用户名或密码不正确。

所以authentication正在发生，但Windows 7不喜欢的东西 。 我在事件日志中看到这些错误，我认为它们与这个问题有关：

安全系统检测到服务器ldap / sles-shire.main.adlab.netdirect.ca的身份validation错误。 来自身份validation协议Kerberos的失败代码是“发生内部错误。（0xc00000e5）”。

安全系统检测到服务器DNS / sles-shire.main.adlab.netdirect.ca的身份validation错误。 来自身份validation协议Kerberos的失败代码是“发生内部错误。（0xc00000e5）”。

如果我已经login并尝试使用networking服务，我会得到：

安全系统检测到服务器cifs / sles-shire.main.adlab.netdirect.ca的身份validation错误。 来自身份validation协议Kerberos的失败代码是“发生内部错误。（0xc00000e5）”。

我在服务器上的krb5.conf：

 [libdefaults] default_realm = MAIN.ADLAB.NETDIRECT.CA dns_lookup_realm = true dns_lookup_kdc = true [realms] [logging] kdc = FILE:/var/log/krb5/krb5kdc.log admin_server = FILE:/var/log/krb5/kadmind.log default = SYSLOG:NOTICE:DAEMON 

这是真正的踢球者：

当站点链接启动时，行为仍然会发生。 我可以使用未在RODC上caching的帐户login域PC，但是如果它们位于RODC上，则会出现相同的错误。

我已经确保AD DNS中的所有适当的SRVlogging已经到位。 我已经通过将分支办公室中的Windows 2008 R2 DC推广到RODCangular色并确保Windows和Samba RODC都存在所有相应的DNSlogging来保证这一点。

（有些需要手动添加，因为它们还没有被桑巴join：

 SRV _ldap._tcp.${SITE}._sites.DomainDnsZones.${DNSDOMAIN} ${HOSTNAME} 389 SRV _ldap._tcp.${SITE}._sites.ForestDnsZones.${DNSFOREST} ${HOSTNAME} 389 

）（必须closures括号）

那么…什么坏了，我该如何解决？

---

SPN信息

 > dsquery * "CN=SLES-SHIRE,OU=Domain Controllers,DC=main,DC=adlab,DC=netdirect,DC=ca" -attr servicePrincipalName servicePrincipalName ldap/SLES-SHIRE; ldap/4116d553-d66b-4c8b-9a60-90380ac69c04._msdcs.main.adlab.netdirect.ca; ldap/SLES-SHIRE.main.adlab.netdirect.ca/main.adlab.netdirect.ca; HOST/SLES-SHIRE.main.adlab.netdirect.ca/main.adlab.netdirect.ca; ldap/SLES-SHIRE.main.adlab.netdirect.ca; ldap/SLES-SHIRE.main.adlab.netdirect.ca/MAIN; HOST/SLES-SHIRE.main.adlab.netdirect.ca/MAIN; RestrictedKrbHost/SLES-SHIRE.main.adlab.netdirect.ca; RestrictedKrbHost/SLES-SHIRE; GC/SLES-SHIRE.main.adlab.netdirect.ca/main.adlab.netdirect.ca; HOST/SLES-SHIRE.main.adlab.netdirect.ca;HOST/SLES-SHIRE; > dsquery * "CN=WIN7-SHIRE,CN=Computers,DC=main,DC=adlab,DC=netdirect,DC=ca" -attr servicePrincipalName servicePrincipalName TERMSRV/WIN7-SHIRE.main.adlab.netdirect.ca; TERMSRV/WIN7-SHIRE; RestrictedKrbHost/WIN7-SHIRE; HOST/WIN7-SHIRE; RestrictedKrbHost/WIN7-SHIRE.main.adlab.netdirect.ca; HOST/WIN7-SHIRE.main.adlab.netdirect.ca;