Proxy Kerberos Authentication - Проблемы с билетом службы Kerberos

У меня есть BlueCoat ProxySG, который может аутентифицировать пользователей через Kerberos. Для него установлено значение "Прокси", поэтому для каждого нового TCP-соединения требуется аутентификация пользователя. Пользователи имеют единый вход, и их ПК автоматически передают свои учетные данные для входа в Windows при запросе сетевых служб. Проблема заключается в том, что на сайте с множеством фоновых подключений (в данном случае www.bbc.com) пользователь начнет получать всплывающие окна с учетными данными спустя очень долгое время (к этому времени большинство страниц и изображений уже загружено). Я считаю, что это происходит с каждым пользователем, использующим этот сайт.

При захвате пакета с ПК пользователя аутентификация Kerberos, похоже, работает при каждой попытке подключения (запросы GET и CONNECT), когда пользователь правильно передает билет службы с запросами GET/CONNECT. Но внезапно начинает обращаться к KDC за новым билетом службы... в этом случае он фактически выдает ошибку PRE_AUTH_REQUIRED и должен получить новый KRBTGT от KDC, прежде чем снова попытаться TGS_REQ для прокси. Это когда всплывающие окна для учетных данных, кажется, происходит.

  • Насколько я понимаю, билет на услугу хранится в лотке Curb пользователя и может использоваться повторно до тех пор, пока не потребуется его продление (как указано в дате обновления на самом билете). Это правильное понимание?
  • Зачем прокси-серверу вдруг понадобиться другой билет?
  • Предполагается, что BlueCoat ProxySG автоматически переключается на NTLM, когда Kerberos не работает, почему он этого не делает? (NTLM отлично работает, когда Kerberos не используется в качестве основного метода аутентификации)

Заранее спасибо!

Источник

1 ответ

Решение

Проблема, как выясняется, не была с Kerberos вообще. Существует две настройки области аутентификации - 1 для IWA Direct и 1 для IWA BCAAA. Область BCAAA не имеет аутентификации Kerberos. При подключении к bbc.com пользователь проходит аутентификацию с использованием области Kerberos. Из-за того, что процесс аутентификации настроен на прокси, он требует аутентификации при каждой новой попытке подключения. Однако фоновый URL на веб-сайте BBC (возможно, на каком-либо рекламном сайте) применял другое правило политики аутентификации, которое указано перед правилом политики аутентификации Kerberos. Он был настроен на Proxy IP (авторизация каждые 15 минут с использованием суррогата IP), и были доступны только NTLM и обычная аутентификация. Таким образом, он представлял всплывающее окно авторизации, поскольку остальные сеансы сайта были авторизованы сферой Kerberos.

Источник
Другие вопросы по тегам