Kerberos / Ereigniskennung 5

[Stebo69]

Hallo

hab mal wieder ein harte Nuss zum Knacken, zumindest für mich:

Sagt Jemanden von Euch das Kerberos etwas? Hab schon ein bisserl im Netz gestöbert. Scheint ein Authentifizierungsprotokoll zu sein.

Wir haben Probleme bei einem unserer Kunden mit unserer Awendung.
Dabei handelt es sich um ein Warenwirtschftssystem und eine Finanzbuchhaltung.

Hin und wieder treten Fehler auf, die wir uns nicht erklären können: z.B. Disk Input Output error, was soviel heisst wie: Fehler beim Schreiben.....

Sicher kann es Tausend Gründe dafür geben, aber bei einem Blick in das Ereignisprotokoll fällt auf, dass immer so ziemlich zur gleichen Zeit folgender Fehler im Systemprotokoll steht:

Ereignistyp: Fehler
Ereignisquelle: Kerberos
Ereigniskategorie: Keine
Ereigniskennung: 5

In der Beschreibung steht sinngemäss folgendes: Der Kerberos Client empfing
einen Fehler vom ServerSTATION1$. ... Vergewissere dich, dass die Servertime
mit der Clitenttime übereinstimmt...

Netzwerk: Win2003 Server, Linux-Server, WinXP Workstation.
Ich habe gelesen, dass Ereigniskategorie 5 fast immer etwas mit "Zugriff verweigert" also einem Berechtigungsproblem zu tun hat.

Kann Eurer Meinung nach dieser Fehler oben beschriebenes Problem verursachen?

wo sind die "Freaks" die sich damit auskennen?

Gruss

Stefan

 

[Morgoth]

... Vergewissere dich, dass die Servertime mit der Clitenttime übereinstimmt...

Schon mal diesem Hinweis nachgegangen? Kerberos kenne ich zwar nicht persönlich, aber viele Verschlüsselungsverfahren arbeiten mit Timestamps in ihren Schlüsseln.
Ich hatte mal übersehen, dass die Systemuhr ein paar Jahre in der Vergangenheit lag. Als ich dann eine GPG-verschlüsselte Mail bekam, hat sich GPG geweigert, diese zu entschlüsseln, weil der Schlüssel für GPG erst "in der Zukunft erzeugt" wird.
Möglicherweise ist es bei Dir ein ähnliches Problem: weil die Serverzeit in der Vergangenheit liegt, weigert es sich, den Client zu authentifizieren, und so passiert der Zugriffsfehler.

Gruß
Morgoth

 

[LeG0]

hm..mit der zeit kann das schon zu tun haben...
kerberos tickets (dient dazu das sich der user am entf. host anmelden kann) haben ein begrenzte lebensdauer, nach deren ablauf sie nicht mehr gültig sind.
alle hosts, die kerberos verwenden sollen, sollten über miteinander synchronisierte uhren verfügen. also sollte ntp verwendet werden.

so long,

LeG0