31 Jan
2011
31 Jan
'11
9:05 a.m.
Hola Damian, en mi caso esas credenciales las meto dentro de options { } del
named.conf. La wiki de SAMBA 4 la he seguido escrupulosamente pero el error
que me da es con dicha credencial. Necesito kerberos para que autentique
máquinas con Win2.
El comando dnssec-key* lo he usado y genera otro tipo de "llaves" la única
"llave" válida es la generada por "provision" (script de
aprovisionamiento
de Samba4) el cual me genera secret.keytab y al cual enlazo simbólicamente a
/etc/krb5.keytab, acto seguido configuro dicho keytab en el entorno de named
(bind) "/etc/sysconfig/named" y lanzo en modo "debug" con un nivel de
de
talle "alto" (con las credenciales añadidas)
~ # /usr/local/sbin/named -g -d 9999
( .... )
31-Jan-2011 08:56:04.352 dispatch 0x92a810: detach: refcount 2
3*1-Jan-2011 08:56:04.352 acquiring credentials for DNS/DOS11111.LOCAL
31-Jan-2011 08:56:04.353 failed to acquire accept credentials for
DNS/DOS11111.LOCAL: GSSAPI error: Major = Unspecified GSS failure. Minor
code may provide more information, Minor = No principal in keytab matches
desired name.
31-Jan-2011 08:56:04.353 configuring TKEY: failure*
31-Jan-2011 08:56:04.353 load_configuration: failure
31-Jan-2011 08:56:04.353 loading configuration: failure
31-Jan-2011 08:56:04.353 exiting (due to fatal error)
arce00000:~ #
para comprobar que la "key" que tengo está bien hago lo siguiente:
# klist -k
Keytab name: FILE:/etc/krb5.keytab
KVNO Principal
----
--------------------------------------------------------------------------
1 DNS/dos11111.local(a)DOS11111.LOCAL
1 DNS/arce00000.dos11111.local(a)DOS11111.LOCAL
1 dns-arce00000(a)DOS11111.LOCAL
1 DNS/dos11111.local(a)DOS11111.LOCAL
1 DNS/arce00000.dos11111.local(a)DOS11111.LOCAL
1 dns-arce00000(a)DOS11111.LOCAL
1 DNS/dos11111.local(a)DOS11111.LOCAL
1 DNS/arce00000.dos11111.local(a)DOS11111.LOCAL
1 dns-arce00000(a)DOS11111.LOCAL
1 DNS/dos11111.local(a)DOS11111.LOCAL
1 DNS/arce00000.dos11111.local(a)DOS11111.LOCAL
1 dns-arce00000(a)DOS11111.LOCAL
1 DNS/dos11111.local(a)DOS11111.LOCAL
1 DNS/arce00000.dos11111.local(a)DOS11111.LOCAL
1 dns-arce00000(a)DOS11111.LOCAL
arce00000:~ #
*NOTA:* El host de la máquina es "*arce00000*"
si pruebo kerberos funciona
arce00000:~ # kinit
Password for ADMCONST(a)DOS11111.LOCAL:
Warning: Your password will expire in 25 days on Fri Feb 25 10:29:11 2011
arce00000:~ #
si "listo" los tickets :
~ # klist -e
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: ADMCONST(a)DOS11111.LOCAL
Valid starting Expires Service principal
01/31/11 09:02:36 01/31/11 19:02:36 krbtgt/DOS11111.LOCAL(a)DOS11111.LOCAL
renew until 02/01/11 09:02:32, Etype (skey, tkt): *ArcFour *with
HMAC/md5, ArcFour with HMAC/md5
Kerberos 4 ticket cache: /tmp/tkt0
klist: You have no tickets cached
arce00000:~ #
*(con ArcFour para windows 7)*
si lanzo el comando que me has dicho:
arce00000:~ # dnssec-keygen -a hmac-md5 -b 128 -n HOST rafa.keytab
Krafa.keytab.+157+38761
arce00000:~ #
(me genera una clave la cual deduzco vale para que se enlacen servidores dns
entre sí, es mas una vez generada la clave no se que hacer con ella.
Un saludo.
El 28 de enero de 2011 10:18, Damian Nogueiras Melendez <
damiannogueiras(a)gmail.com> escribió:
Estos días tenía ganas de mirarme este tema, pero
todavía ni empecé. Voy a
seguir este howto:
http://wiki.samba.org/index.php/Samba4/HOWTO#Step_8_Configure_DNS
Viendo lo que tienes, lo único que se me ocurre es revisar esto que pone en
el howto:
Then in your /etc/bind/named.conf.options you need this:
tkey-gssapi-credential "DNS/samdom.example.com";
tkey-domain "SAMDOM.EXAMPLE.COM";
The last part of the credential in the first line must match the domain
you've setup. This used to be the hostname of the machine running the DNS
server, but at least in alpha12 and later you should use the domain.
Yo probaría a poner el nombre de la máquina y no solo el dominio, a pesar
de la versión.
Otra cosa que probaría es en vez de -n HOST, utilizar -n ZONE en la
generación de la clave
*dnssec-keygen -a hmac-md5 -b <bit-length> -n HOST <key-file-name>
*
Saludos
El 27 de enero de 2011 09:28, Rafa Toucedo <debian.vigo(a)gmail.xn--com>escribi-yobcribió:
No me van las actualizaciones dinámicas ...
Lanzo BIND en modo debug con un nivel de detalle muy alto
/usr/local/sbin/named -g -d 9999
27-Jan-2011 09:19:52.075* failed to acquire accept credentials for DNS/(aqui
el dominio): GSSAPI error: Major = Unspecified GSS failure. Minor code
may provide more information, Minor = No principal in keytab matches desired
name.*
lo tengo compilado con soporte GSSAPI
27-Jan-2011 09:21:27.780 starting BIND 9.7.2-P2 -g
27-Jan-2011 09:21:27.780 built with '--with-openssl=yes' *
'--with-gssapi=/usr'*
y sin errores en el proceso.
Esto es lo que me permite realizar actualizaciones dinámicas en la zona
directa muy importante a la hora de meter / modificar máquinas en un
dominio.
En referencia a esto, mi named.conf reza lo siguiente:
*options {
directory "/var/lib/named";
dump-file "/var/log/named_dump.db";
statistics-file "/var/log/named.stats";
tkey-gssapi-credential "DNS/DOS11111.LOCAL"; * <-
Si comento esta línea funciona el DNS pero no las actualizaciones...* si
la descomento no funciona el DNS (no arranca)
tkey-domain "DOS11111.LOCAL";
};*
[... sigue ...]
*};
include "/etc/named.conf.include";* <- el archivo termina con este
include que nos lleva a :
*key "rndc-key" {
algorithm hmac-md5;
secret
"948jWC+QeQiaMVLpW3bbu1uoug+GrpEKNDr2X7A+3DNRwK772iqSzTK/bWWKKyNnqiW+yUW/Kj4rcTZnfb993Q==";
};
*
Y pienso que el erro viene de esa "llave" y me pongo a generar otra (pero
ando perdido) de la siguiente forma:
*dnssec-keygen -a hmac-md5 -b <bit-length> -n HOST <key-file-name>
*
Genero una " llave" y la sustituyo en el /etc//named.conf.include y creo
que aquí es donde la lío.
El DNS que uso es interno, no me importa la seguirdad (no necesito cifrar
el trafico ni nada por el estilo)
¿alguna idea?
gracias.
_______________________________________________
GALPon mailing list
GALPon(a)listas.galpon.org
https://listas.galpon.org/cgi-bin/mailman/listinfo/galpon
_______________________________________________
GALPon mailing list
GALPon(a)listas.galpon.org
https://listas.galpon.org/cgi-bin/mailman/listinfo/galpon