Kerberos认证问题的调试试验

最新推荐文章于 2024-09-24 16:36:58 发布

原创

最新推荐文章于 2024-09-24 16:36:58 发布 · 6k 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#服务器 #解密 #windows #authentication #microsoft #asp.net

本文详细介绍了Kerberos认证流程，并针对客户端反复出现认证窗口的问题进行调试。通过网络抓包、系统日志分析及注册表设置，定位到SPN注册账户与服务器服务账户不一致导致的KRB_AP_ERR_MODIFIED错误。解决方案包括调整内核认证模式或修改SPN设置，确保两者匹配。

Kerberos作为一种windows推荐的集成认证方式被广泛的应用，也有很多文章介绍Kerberos认证方式，这里通过一个Kerberos认证问题的调试试验来介绍一下Kerberos的认证流程以及相关的调试工具和方法。

Kerberos认证流程

总的来说Kerberos是通过统一的认证服务器来对客户端进行认证，认证成功后客户端才能取得访问真正服务器的凭据。所以认证流程中涉及了三个方面如下图所示。

客户端 - Client
凭据分发中心 - Key Distribution Center (包含认证服务和凭据分发服务)
服务器 - Server

认证流程(简化版)
第一步，客户端与认证服务通信，认证自己后得到访问凭据分发服务的session key
第二步，客户端与凭据分发服务通讯，得到他要访问的具体服务相应的凭据
第三步，客户端与服务器相互认证后，请求真正的服务器相关服务

当然这个过程中每个请求都包含的信息非常复杂，如果要具体了解可以参考这里
http://msdn.microsoft.com/en-us/library/ff647076.aspx

为什么客户端在第二步的时候可以得到具体的服务相应的的凭据，而不是整个服务器的凭据，这个是通过SPN (service principle name)来实现的。SPN注册在DC上面，SPN的格式一般为
服务类型名/主机名：端口号注册用户
例如 Http/dof2008-01:8080 www.dof.com\dof02

正是因为有了SPN客户端请求的时候会确定其访问的服务类型，以及相应的主机名和端口号，这样凭据分发服务就可以在DC上面查找到相应的注册