主页 / server / 问题 / 1049721
Accepted
Kyle C
Asked: 2021-01-14 12:44:49 +0800 CST

为什么 AD 环境中的服务器允许通过 FQDN 访问远程注册表，但拒绝并锁定通过 IP 地址的帐户？

  • 772

我们遇到无法安装软件应用程序的情况，因为安装期间使用的管理员帐户在先决条件检查期间被锁定。经过一番调查，我们找到了原因：先决条件检查通过RPC调用服务器的IP地址而不是其FQDN来查看其他服务器的远程注册表设置，并且由于某种原因导致身份验证失败并锁定帐户。

我们通过执行以下操作验证了这一点：

  • 使用 regedit 并尝试使用服务器的 FQDN 连接到另一个 AD 服务器的注册表时，它可以毫无问题地连接。
  • 当我们使用服务器的 IP 地址尝试相同的连接时，它会提示输入新凭据。
  • 所有 AD 凭据都将失败并最终锁定正在使用的帐户，但使用本地管理员帐户没有问题。

我们也在环境中的其他服务器上执行了此测试，但它们在通过 IP 连接和身份验证方面没有问题。我们比较了 NIC/DNS/WINS 设置，但没有显着差异。我们正在交叉检查 GPO 设置，但我们不希望找到任何东西。

我们显然可以只使用本地管理员帐户，但我们想了解为什么使用 IP 地址而不是 FQDN 的 RPC 调用会导致 AD 身份验证失败并锁定 AD 帐户。有任何想法吗？

active-directory windows-registry rpc windows-authentication

1 个回答

  1. Best Answer

    如果它锁定帐户，您肯定有密码问题。否则可能是因为不会使用 Kerberos 并且 NTLM 被禁用或其他原因。您需要检查源服务器和目标服务器的安全日志，并提供任何可能与身份验证问题相关的日志条目。

    你也可以试试这个。但是，在您甚至不知道某些事情不起作用的原因时进行更改并不是很有效，并且可能会破坏其他事情。

    从 Windows 10 版本 1507 和 Windows Server 2016 开始，可以将 Kerberos 客户端配置为支持 SPN 中的 IPv4 和 IPv6 主机名。

    默认情况下，如果主机名是 IP 地址，Windows 不会尝试对主机进行 Kerberos 身份验证。它将回退到其他启用的身份验证协议，如 NTLM。但是，应用程序有时会被硬编码为使用 IP 地址，这意味着应用程序将回退到 NTLM 并且不使用 Kerberos。随着环境开始禁用 NTLM，这可能会导致兼容性问题。

    为了减少禁用 NTLM 的影响，引入了一项新功能，允许管理员使用 IP 地址作为服务主体名称中的主机名。

    阅读更多

    https://docs.microsoft.com/en-us/windows-server/security/kerberos/configuring-kerberos-over-ip

    • 0

相关问题