Problème Configuration client Kerberos

Sujet résolu

3 juin 2020 à 17:59:19

Bonjour,

J'ai un souci pour m'authentifier depuis un client sous Gentoo vers le serveur Kerberos sous RedHat 8, le reste du la configuration serveur est sur ce lien : https://openclassrooms.com/forum/sujet/les-services-kerberos-ne-demarrent-pas.

Autre précision l'installation a été tirée de ce tutoriel : https://guide.ubuntu-fr.org/server/kerberos-ldap.html

Lorsque j'effectue un ticket Kerberos via la commande kinit -p tata, j'ai ce message d'erreur :

PC-client ~ # kinit -p tata
kinit: Cannot contact any KDC for realm 'TOTO.TUTU' while getting initial credentials

Je précise que les flux sont bien ouvertes entre le client et serveur, le firewall du serveur a été désactivé pour effectuer des tests d'authentification

Fichier client krb5.conf

# To opt out of the system crypto-policies configuration of krb5, remove the
# symlink at /etc/krb5.conf.d/crypto-policies which will not be recreated.
#includedir /etc/krb5.conf.d/

[logging]
    default = FILE:/var/log/krb5libs.log
    kdc = FILE:/var/log/krb5kdc.log
    admin_server = FILE:/var/log/kadmind.log

[libdefaults]
    dns_lookup_realm = false
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true
    rdns = false
    pkinit_anchors = FILE:/etc/pki/tls/certs/ca-bundle.crt
    spake_preauth_groups = edwards25519
    default_realm = TOTO.TUTU
    default_ccache_name = KEYRING:persistent:%{uid}

[realms]
TOTO.TUTU = {
    kdc = srv-kerberos.toto.tutu
    admin_server = srv-kerberos.toto.tutu
    database_module = openldap_ldapconf
    default_domain = toto.tutu
}

[domain_realm]
  .toto.tutu = TOTO.TUTU
  toto.tutu = TOTO.TUTU

Si quelqu'un peut m'aide pour ce problème, car je pense que ça vient de la conf du client.

L'authentification en local du kinit sur le serveur Kerberos fonctionne sans problème.

-
Edité par ageofempiresz 3 juin 2020 à 18:02:45

ageofempiresz

6 juin 2020 à 10:37:09

Cela venait d'un problème des flux réseaux qui ne permettait pas d'atteindre le serveur Kerberos.

Ce que j'ai vérifié les pings qui fonctionnent dans un sens et pas l'autre.
Test avec un autre protocole que Kerberos exemple : OpenLDAP via la commande ldapsearch. J'avais le même souci.
j'ai désactivé le firewall logiciel du serveur Kerberos si ça venait de lui, ce n'était pas le cas.
Dans les logs, il y avait aucune trace de l'adresse ip du client.
j'ai réalisé un scan de ports via nmap pour vérifier si les ports étaient bien ouverts et c'est le cas.
Analyse des trames via tcpdump, je ne voyais que les paquets icmp transités.

Donc, mon problème était bel et bien du réseau. Vérifiez si un tunnel VPN est à l'usage.

Docs Configuration client (Kerberos, SSSD et le pam sssd) pour le poste client

https://blog.tminor.io/notes/Kerberos-and-LDAP.html

https://docs.pagure.org/SSSD.sssd/users/pam_krb5_migration.html

-
Edité par ageofempiresz 17 juin 2020 à 10:02:56