Kerio Software Appliance не могу включить в домен

[Mugg]

Домен windows server 2008 r2, Kerio Control 7.2.0 build 3028.
При попытке ввести его в домен сообщает "Connect error", адрес контроллера домена не спрашивает. В логах Kerio подробностей нет, в логах контроллера домена никаких ошибок, предупреждений по этому поводу. Адресом ДНС на обоих интерфейсах (локальном и интернет) указан контроллер домена.

Правда, возможен мапинг пользователей домена в Керио - доменные эккаунты отображаются, правда прозрачная авторизация не работает, и трафик по доменным пользователям не отображается, но с этим после.

Пока вопрос - как ввести машину в домен, точнее понять, почему не вводится?
Спасибо и извиняйте, ежели что не так.

[Mugg]

Первая проблема решена, теперь Kerio находит контроллер домена, но присоединить также не получается. Ошибка: Logon failure. В логах контроллера есть запись в журнале Audit failure - "unknown user or bad password". Вводимые логин и пароль правильные.

[Marrab]

Ну попробуй перед логином еще написать домен\.

[Mugg]

такую форму вообще не принимает, сразу красным подчеркивает

[Marrab]

А имя пользователя, случайно, не по-русски?

[soho]

вопрос странный - что в домен вводить надо, керио, что ли - так в домен компы входят, а не прикладные программы? Или надо в керио маппить доменных юзеров? В этом случае надо юзать форму domain_user@domain и пароль для этого доменного юзера (который должен иметь права на чтение списка юзеров в домене, оптимально - входит в группу админов), обязательно выключить в керио использование шифрования для связи с контроллером.
Кстати, если лес 2003 или выше, то керио 7.2.0 отлично понимает русские логины (но не домены).

[naliman]

комп, где установлен керио - в домене?

[soho]

Цитата:

Сообщение от naliman

комп, где установлен керио - в домене?

кстати, вопрос вдогонку: а кто-нибудь вводил Kerio Software Appliance в AD? И как впечатления?

[Mugg]

Kerio Control Software Appliance - это Керио на линуксе, то есть керио собственно и есть та машина, которую нужно ввести в домен. Форма user@domain так же не работает, логин на наглийском.

UPD:
Вобщем никто мне не помог, даже английская ТП развела руками, я сам молодец. Решение, точнее обходной путь, следующий:
В домене политика политика безопасности "Network security: LAN Manager authentication level" была установлена в "Send NTLMv2 response only\refuse LM & NTLM", поменял на "Send NTLMv2 response only\refuse LM" и Kerio был успешно введен в домен.

Пошел читать ту длинную тему насчет авторизации, буду приставать с ньюбскими вопросами, старожилам это нравится, я ее немного посмотрел.

[soho]

Чисто личное мнение:
1. что аплянс - линух, просветил, конечно, спасибо.
2. загнать линух в домен - проблема для начинающих, вообще-то, можно хоть тут _http://forum.ubuntu.ru/index.php?PHPSESSID=cemqjkodsra91k4dpqbofu8i02&top ic=106391.60 посмотреть.
3. керио никогда не требовал принадлежности хоста к домену для авторизации юзеров ни под линухом, ни под виндой, потому вопрос о его членстве в домене сильно надуманный, я потому и спрашивал - неужто кто-то заморачивался с этим.
4. убрал нтлм - убрал закрытый ключ, значит в керио стоит галка использовать безопасное соединение, о чем говорит и несрабатывание стандартной формы авторизации.
5. оставил лм - вернулся к 95 винде и домену НТ3.11 без шифрования паролей и проч как бы важных вещей. Любой юзер запустивший с флешки Каина с Абелем знает все доменные пароли. Это круто.


Странный диалог со странными аргументами, ну хоть одно успокаивает - автор "сам молодец" не чета "даже английской ТП" и знает вкусы старожилов. Перспектива светлая.

Интересно, что официальная техподдержка сказала бы по этому вопросу........... МС особенно.......

[Valery12]

Цитата

Сообщение от soho

3. керио никогда не требовал принадлежности хоста к домену для авторизации юзеров ни под линухом, ни под виндой, потому вопрос о его членстве в домене сильно надуманный, я потому и спрашивал - неужто кто-то заморачивался с этим.

не совсем так, если пользователи будут привязаны к IP или писать пароль ручками, то не требуется, а вот для прозрачной NTLM аутентификации без членства в домене никуда.

[Mugg]

Цитата

убрал нтлм
....
оставил лм

Кде? "Send NTLMv2 response only\refuse LM" - политика разрешает котроллеру домена отвечать на NTLM запросы (а не только NTLMv2). Это, конечно, некоторое понижение безопасности, но что делать, либо так, либо нет прозрачной авторизации. Либо использовать windows на маршрутизаторе.
Собственно, причина проблемы выявлена, а что именно делать, еще подумаем.

[soho]

Цитата

Сообщение от Valery12

для прозрачной NTLM аутентификации без членства в домене никуда.

Когда используется несколько доменов, разве не работает прозрачная авторизация? Работает отлично вне зависимости от того, членом чего является хост с керио. Более того, если на керио установить сгенеренные контроллерами сертификаты, то и защищенное соединение можно использовать с несколькими контроллерами нескольких доменов с никому из них ненужного аплянса.
Совсем интересная ситуация возникает, когда через керио работают юзеры из неизвестного керио домена, с которым у известного домена установлены доверительные отношения - работает прозрачная аутентификация....
И наоборот - прозрачная авторизация не будет работать в домене даже если виндовый керио есть член этого домена при некоторых обстоятельствах, связанных с безопасностью сети и версией керио.

Автор топика в своей проблеме нашел правильный путь, но решение на этом пути принял неправильное. Но он "молодец", так что разберется и научит массу жить.
Правда, выражение

Цитата

Это, конечно, некоторое понижение безопасности, но что делать

скорее говорит о непонимании автором во что он вляпался, чем о молодечестве, но это уже вопрос двадцатый.

Ну и не в тему, но - чисто имхо - если кто-то развернул 2008 домен в сети только из 7 винды, так какие же страшные и суровые основания заставили этого героя применять чуждую, плохоуправляемую и громкостучащую на этого героя не самую удачную придумку кериотов, названную аплянсом? Неужели экономия трех-пяти тыров - ну дык все равно он же левак юзает, не покупает он и винду тоже?! Или это просто типичный героизм - создать себе амбразуру и закрывать ее разными частями тела до потери сознания?

[Mugg]

Цитата

Это, конечно, некоторое понижение безопасности, но что делать

скорее говорит о непонимании автором во что он вляпался

Скажи, почтенный, а ты сам выставил политику безопасности "Network security: LAN Manager authentication level" в положение "Send NTLMv2 response only\refuse LM & NTLM" или оставил по-умолчанию? Эта политика имеется со времен windows server 2003.

Цитата

чуждую, плохоуправляемую и громкостучащую на этого героя не самую удачную придумку кериотов

Ты сам-то что на этом форуме делаешь? Или керио на виндоус не стучит на тебя?

Цитата

Неужели экономия трех-пяти тыров - ну дык все равно он же левак юзает, не покупает он и винду тоже?! Или это просто типичный героизм - создать себе амбразуру и закрывать ее разными частями тела до потери сознания?

Что за поток мысли, какие три-пять тыров, какой левак? :facepalm

[soho]

а, понятно, любезный. Будь, "молодец".

[Mugg]

Если тебе не трудно, ответь на этот вопрос:

Цитата

а ты сам выставил политику безопасности "Network security: LAN Manager authentication level" в положение "Send NTLMv2 response only\refuse LM & NTLM" или оставил по-умолчанию?

Мне любопытно, как настроена политка безпасности у человека, который говорит, что я "вляпался".