Active Directory.pdf - Gattner

Problembehandlung für Kerberos
Kerberos-Sicherheit 295
Wenn Ihr Unternehmen nur Clients und Server unter Windows 2000 oder höher einsetzt, verwenden
alle Benutzer in Ihrem Unternehmen Kerberos als Authentifizierungsprotokoll. Da der gesamte
Clientzugriff auf Netzwerkressourcen auf einer erfolgreichen Authentifizierung beruht, führt jeder
Authentifizierungsfehler zur Unterbrechung der Benutzerinteraktion mit dem Netzwerk. Sie müssen
daher auf eine Problembehandlung für die Kerberos-Authentifizierung vorbereitet sein.
Anforderungen an die TCP/IP-Netzwerkkonnektivität
Damit die Kerberos-Authentifizierung erfolgreich ist, müssen Clientcomputer mit Domänencontrollern
kommunizieren können. Wenn zwischen den Clientcomputern und den Domänencontrollern Firewalls
bereitgestellt werden, stellen Sie sicher, dass die in Tabelle 8.1 genannten Ports geöffnet sind.
Tabelle 8.1
Für die Kerberos-Authentifizierung erforderliche Ports
Port Dienst Beschreibung
53/TCP
DNS-Dienst
Der interne DNS-Server muss allen Clients für den Standort von KDC-Computern
53/UDP
zugänglich sein.
88/TCP
88/UDP
123/TCP
123/UDP
Kerberos-Ticketerteilungsdienst
Zeitdienst
464/TCP Microsoft Windows 2000
Kerberos-Protokoll zur
Kennwortänderung
Alle Clients müssen sich mit diesem Port auf den KDC-Servern verbinden
können.
Alle Clients müssen sich mit diesem Port zur Zeitsynchronisierung entweder
mit einem internen Zeitserver oder mit einer externen Zeitquelle verbinden
können.
Dieser Port wird auch vom kpasswd-Protokoll verwendet. Er sollte nur dann
geöffnet sein, wenn Clients das kpasswd-Protokoll verwenden.
Hinweis Auch wenn dies für die Kerberos-Authentifizierung nicht erforderlich ist, sollten Sie sicherstellen,
dass Clientcomputer auch mit Domänencontrollern über LDAP (Port 389) und LDAP für den globalen Katalog
(Port 3268) kommunizieren können, um Verzeichnissuchen durchzuführen.
Problembehandlung bei der Authentifizierung
Wenn Benutzer sich nicht an der Domäne anmelden können, kann das Problem mit der Kerberos-
Authentifizierung zusammenhängen. Insbesondere, wenn das Systemereignisprotokoll auf Domänencontrollern
oder Clientcomputern Fehler von beliebigen Authentifizierungsdiensten anzeigen, wie
Kerberos, KDC, LsaSrv oder Netlogon, sollten Sie bei der Problembehandlung bei Kerberos-Fehlern
ansetzen. Außerdem sollten Sie das Sicherheitsereignisprotokoll auf Fehlerüberwachungen prüfen, die
Hinweise auf den Grund des Authentifizierungsfehlers bereitstellen könnten.
Als ersten Schritt bei der Problembehandlung von Authentifizierungsfehlern verwenden Sie die Problembehandlungstools
für Windows-Netzwerke, um die Verfügbarkeit und Konfiguration von Servern
und Clients zu überprüfen. Beispielsweise können Sie mithilfe von Dcdiag den Status der
Dienste prüfen, die die Authentifizierungsdienste auf den Domänencontrollern unterstützen. Auf der
Clientseite prüfen Sie die IP-Adresskonfiguration und löschen den Namenzwischenspeicher. Außerdem
können Sie den Befehl Nltest ausführen, um sicherzustellen, dass der Client mit dem richtigen
Domänencontroller einen sicheren Kanal aufgebaut hat. Mithilfe von Nslookup und Portquery können
Sie Probleme mit der Namensauflösung oder einer Portblockierung beheben.