Авторизация пользователей удалённого AD

Помогите, пожалуйста, настроить авторизацию доменных пользователей в Kerio Connect!

Имеется ВНЕШНИЙ Kerio Connect 9.1.0 на Linux (VMware Virtual Appliance) - домен sample.ru.
Имеется ВНУТРЕННИЙ контроллер домена Active Directory на Windows Server 2012 R2, на котором установлено расширение Kerio Active Directory Extension и даже настроен LDAPS - домен sample.lan.
Между ними БРАНДМАУЭР Kerio Control 9.1.0 на Linux (VMware Virtual Appliance), который успешно перенаправляет (NAT) на контроллер домена все входящие соединения на порты LDAP (TCP/UDP 389), LDAPS (TCP 636) и Kerberos (TCP/UDP 88, TCP/UDP 749).
ВРЕМЯ на всех серверах одинаковое.
Для почтового сервера домен SAMPLE.LAN выдаёт внешний IP брандмауэра.

Kerio Connect без проблем подключается к AD, даже через защищённое соединение.
В AD при создании пользователя ему можно создать почту и потом ей управлять через вкладку "Kerio Connect Account", соответственно на Kerio Connect появляется такой ящик.
Так же пользователи AD видны в Kerio Connect и их можно активировать.

Но, при попытке входа под доменными учётными записями получаем сообщение, что "неверное имя пользователя или пароль".
Насколько я понял Kerio и AD не могут обменяться данными Kerberos.

Security log:
HTTP/WebMail: Authentication failed for user [Для просмотра данной ссылки нужно зарегистрироваться]. Attempt from IP address xxx.xxx.xxx.xxx. External authentication service rejected authentication due to invalid password or authentication restriction.

Debug log:
{auth} Authenticating user [Для просмотра данной ссылки нужно зарегистрироваться]...
{ldapdb} [Для просмотра данной ссылки нужно зарегистрироваться]: Looking up in cache...
{ldapdb} [Для просмотра данной ссылки нужно зарегистрироваться]: found in cache
{auth} Krb5: entering auth (user: [Для просмотра данной ссылки нужно зарегистрироваться])
{auth} Krb5: get_init_creds_password(krbtgt/[email protected], [Для просмотра данной ссылки нужно зарегистрироваться]): Cannot contact any KDC for requested realm, error code 0x96c73a9c (-1765328228)


Помогите, пожалуйста, побороть это!

[exchar]

Цитата

Сообщение от ADKix

меется ВНЕШНИЙ
Имеется ВНУТРЕННИЙ

а конкретнее?

Цитата

Сообщение от ADKix

Между ними БРАНДМАУЭР

всего один? или их там два и между ними vpn? или как?

Цитата

Сообщение от ADKix

БРАНДМАУЭР Kerio Control 9.1.0 на Linux (VMware Virtual Appliance), который успешно перенаправляет (NAT) на контроллер домена все входящие соединения на порты LDAP (TCP/UDP 389), LDAPS (TCP 636) и Kerberos (TCP/UDP 88, TCP/UDP 749).

и у которого есть политики трафика, но ты их нам решил не показывать, как я смотрю

Цитата

Сообщение от ADKix

Cannot contact any KDC for requested realm

так посмотри куда он ломится-то

Цитата

Сообщение от exchar

а конкретнее?

Внешний напрямую смотрит в интернет, без NAT.
Внутренний видит внешний через NAT.

Цитата

Сообщение от exchar

всего один? или их там два и между ними vpn? или как?

Да, один.
Причём один его интерфейс в подсети внешнего, а другой - в подсети внутреннего.
То есть, между Kerio Connect и AD только он.

Цитата

Сообщение от exchar

и у которого есть политики трафика, но ты их нам решил не показывать, как я смотрю

Ну, там всё так прямолинейно, что и не указал. А вот порты важны - их написал.
Правило такое:
источник - внешние интерфейсы;
назначение - брандмауэр;
служба - Kerberos, LDAP, LDAPS;
версия IP - любая;
действие - разрешить;
адрес назначения NAT - внутренний IP сервера AD.
P.S. LDAP, LDAPS точно пробрасываются и работают, поскольку подключение к AD есть. Весь вопрос в Kerberos, который для меня тёмная лошадка на данный момент.

Цитата

Сообщение от exchar

так посмотри куда он ломится-то

А вот это хороший вопрос! Сейчас посмотрел, и от него даже не идут запросы на свои порты (TCP/UDP 88, TCP/UDP 749). Причём, совершенно не понятно - почему.

Добавлено через 47 минут
Включил проброс вообще всех портов... и ничего!
Запросы только к LDAPS.

[exchar]

Цитата

Сообщение от ADKix

Ну, там всё так прямолинейно, что и не указал.

да хоть плоскопараллельно
лето, жарко, телепаты в отпуске

Цитата

Сообщение от ADKix

Включил проброс вообще всех портов... и ничего!

есть [Для просмотра данной ссылки нужно зарегистрироваться]
но я с этим не возился, т.к. не надо было

Цитата

Сообщение от exchar

есть такая штука (и комменты внизу)

Спасибо огромное!
Самое интересное, что я это раньше читал, но не найдя файла /etc/krb5.conf пошёл искать решение дальше, а оказалось, что его НУЖНО СОЗДАТЬ!

В итоге, для моего случая содержание получилось следующим:

[libdefaults] 
    default_realm = SAMPLE.LAN 
    dns_lookup_realm = false 
    dns_lookup_kdc = false 
[realms] 
    SAMPLE.LAN = { 
        kdc = :88 
        admin_server = :749 
        default_domain = sample.lan 
    } 
[default_realm] 
        .sample.lan = SAMPLE.LAN 
        sample.lan = SAMPLE.LAN

Цитата

Сообщение от ADKix

Спасибо огромное!
Самое интересное, что я это раньше читал, но не найдя файла /etc/krb5.conf пошёл искать решение дальше, а оказалось, что его НУЖНО СОЗДАТЬ!

В итоге, для моего случая содержание получилось следующим:

[libdefaults] 
    default_realm = SAMPLE.LAN 
    dns_lookup_realm = false 
    dns_lookup_kdc = false 
[realms] 
    SAMPLE.LAN = { 
        kdc = :88 
        admin_server = :749 
        default_domain = sample.lan 
    } 
[default_realm] 
        .sample.lan = SAMPLE.LAN 
        sample.lan = SAMPLE.LAN

Вместо samples.LAN вставляем имя своего домена? А на IP БРАНДМАУЭРА вставляем IP домен контроллера, правильно?

[Valery12]

Цитата

Сообщение от Дмитрий Дуев

Вместо samples.LAN вставляем имя своего домена? А на IP БРАНДМАУЭРА вставляем IP домен контроллера, правильно?

у автора топика почтовый сервер внешний с белым IP, а контроллер домена находится за фаерволом в локальной сети с серым IP, поэтому не "IP домен контроллера", а внешний IP фаервола на котором настроен проброс портов.

Цитата

Сообщение от Дмитрий Дуев

Вместо samples.LAN вставляем имя своего домена?

Если вам просто доменных пользователей завести для почтового домена отличного от домена AD, то вот тут есть галчонок: