Как заставить Kerberos использовать TCP вместо UDP в Windows — Windows Server

Twitter LinkedIn Facebook Адрес электронной почты

• Статья
• 10/12/2022
• Чтение занимает 3 мин

В этой статье описывается, как принудительно использовать протокол TCP вместо UDP в Kerberos.

Область действия: Windows 10 — все выпуски, Windows Server 2012 R2
Исходный номер базы знаний: 244474

Аннотация

Пакет проверки подлинности Windows Kerberos является пакетом проверки подлинности по умолчанию в Windows Server 2003, Windows Server 2008 и Windows Vista. Он сосуществует с протоколом запроса и ответа NTLM и используется в экземплярах, где клиент и сервер могут согласовывание Kerberos. Запрос комментариев (RFC) 1510 указывает, что клиент должен отправить датаграмму протокола UDP на порт 88 по IP-адресу центра распространения ключей (KDC), когда клиент обращается к KDC. KDC должен ответить с помощью датаграммы ответа на порт отправки по IP-адресу отправителя. RFC также указывает, что UDP должен быть первым протоколом, который пытается выполнить.

Примечание.

RFC 4120 теперь устарел rFC 1510. RFC 4120 указывает, что KDC должен принимать TCP-запросы и прослушивать такие запросы через порт 88 (десятичный). По умолчанию Windows Server 2008 и Windows Vista сначала пытаются использовать протокол TCP для Kerberos, так как значение по умолчанию MaxPacketSize теперь равно 0.

Для переопределения этого поведения можно по-прежнему использовать значение реестра MaxPacketSize.

Ограничение размера пакета UDP может привести к следующему сообщению об ошибке при входе в домен:

Ошибка журнала событий 5719
Исходный NETLOGON

Для домена домена Windows NT контроллер домена Windows 2000 не доступен. Произошла следующую ошибку:

В настоящее время нет доступных серверов входа для обслуживания запроса на вход.

Кроме того, средство Netdiag может отображать следующие сообщения об ошибках:

• Сообщение об ошибке 1

  Проверка списка контроллеров домена. . . . . . . . . . . : не удалось [ПРЕДУПРЕЖДЕНИЕ] Не удается вызвать DsBind к COMPUTERNAMEDC.domain.com (159.140.176.32). [ERROR_DOMAIN_CONTROLLER_NOT_FOUND]

• Сообщение об ошибке 2

  Тестирование Kerberos. . . . . . . . . . . : не удалось [FATAL] Kerberos не имеет билета для MEMBERSERVER$. ] Журналы событий Windows XP, которые являются симптомами этой проблемы, — SPNegotiate 40960 и Kerberos 10.

Важно!

В этот раздел, описание метода или задачи включены действия, содержащие указания по изменению параметров реестра. Однако неправильное изменение параметров реестра может привести к возникновению серьезных проблем. Поэтому следует в точности выполнять приведенные инструкции. Для дополнительной защиты создайте резервную копию реестра, прежде чем редактировать его. Так вы сможете восстановить реестр, если возникнет проблема. Для получения дополнительной информации о том, как создать резервную копию и восстановить реестр, см. статью Сведения о резервном копировании и восстановлении реестра Windows.

Если вы используете UDP для Kerberos, клиентский компьютер может перестать отвечать (зависать) при появлении следующего сообщения: Загрузка личных параметров.

По умолчанию максимальный размер пакетов датаграмм, для которых Windows Server 2003 использует UDP, составляет 1465 байт. Для Windows XP и Windows 2000 это максимальное значение составляет 2000 байт. Протокол TCP используется для любого datagrampacket, превышающее это максимальное значение. Максимальный размер пакетов датаграмм, для которых используется UDP, можно изменить, изменив раздел реестра и его значение.

По умолчанию Kerberos использует пакеты датаграмм uDP без подключения. В зависимости от различных факторов, включая журнал идентификаторов безопасности (SID) и членство в группах, некоторые учетные записи будут иметь более крупные размеры пакетов проверки подлинности Kerberos. В зависимости от конфигурации оборудования виртуальной частной сети (VPN) эти большие пакеты должны быть фрагментированными при переходе через VPN. Проблема возникает из-за фрагментации этих больших пакетов Kerberos UDP. Так как UDP — это протокол без подключения, фрагментированные UDP-пакеты будут удалены, если они поступают в место назначения не по порядку.

Если изменить MaxPacketSize на значение 1, клиент будет принудительно использовать TCP для отправки трафика Kerberos через VPN-туннель. Так как TCP ориентирован на подключение, он является более надежным средством транспорта через VPN-туннель. Даже если пакеты будут удалены, сервер повторно запросит отсутствующий пакет данных.

Вы можете изменить Значение MaxPacketSize на 1, чтобы принудительно использовать трафик Kerberos через TCP. Для этого выполните следующие действия:

1. Откройте редактор реестра.

2. Найдите и выделите следующий подраздел реестра: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\Kerberos\Parameters.

   Примечание.

   Если ключ параметров не существует, создайте его сейчас.

3. В меню Правка выберите пункт Создать, а затем Параметр DWORD.

4. Введите MaxPacketSize и нажмите клавишу ВВОД.

5. Дважды щелкните MaxPacketSize, введите 1 в поле данных «Значение», выберите параметр Decimal и нажмите кнопку «ОК».

6. Закройте редактор реестра.

7. Restart your computer.

Это подход к решению для Windows 2000, XP и Server 2003. В Windows Vista и более поздних версиях используется значение по умолчанию «0» для MaxPacketSize, которое также отключает использование UDP для клиента Kerberos.

Следующий шаблон представляет собой административный шаблон, который можно импортировать в групповая политика, чтобы задать значение MaxPacketSize для всех корпоративных компьютеров под управлением Windows Server 2003, Windows XP или Windows 2000. Чтобы просмотреть параметры MaxPacketSize в редакторе объектов групповая политика, в меню «Вид» щелкните «Показать только политики», чтобы не было выбрано «Только политики». Этот шаблон изменяет разделы реестра за пределами раздела «Политики». По умолчанию редактор групповая политика объектов не отображает эти параметры реестра.

ООО ЮЖНЫЙ ПОРТ 88, Екатеринбург (ИНН 6674355321), реквизиты, выписка из ЕГРЮЛ, адрес, почта, сайт, телефон, финансовые показатели

Обновить браузер

Обновить браузер

Возможности

Интеграция

О системе

Статистика

Контакты

CfDJ8HJyMSOWarhLkJBDZs2NT-GJDEK2AyMHoVDmvENBBtX-AhagSjURdNn2B4RUjEshy-mRepLONH9W26uRam1RwecmAutHOsvGZ3aBtNuJtkwIykdzZbo_w-wowfkIVg6FmLEW4bNkA_sT5J1gnjTxz4M

Описание поисковой системы

энциклопедия поиска

ИНН

ОГРН

Санкционные списки

Поиск компаний

Руководитель организации

Судебные дела

Проверка аффилированности

Исполнительные производства

Реквизиты организации

Сведения о бенефициарах

Расчетный счет организации

Оценка кредитных рисков

Проверка блокировки расчетного счета

Численность сотрудников

Уставной капитал организации

Проверка на банкротство

Дата регистрации

Проверка контрагента по ИНН

КПП

ОКПО

Тендеры и госзакупки

Поиск клиентов (B2B)

Юридический адрес

Анализ финансового состояния

Учредители организации

Бухгалтерская отчетность

ОКТМО

ОКВЭД

Сравнение компаний

Проверка товарных знаков

Проверка лицензии

Выписка из ЕГРЮЛ

Анализ конкурентов

Сайт организации

ОКОПФ

Сведения о регистрации

ОКФС

Филиалы и представительства

ОКОГУ

ОКАТО

Реестр недобросовестных поставщиков

Рейтинг компании

Проверь себя и контрагента

Должная осмотрительность

Банковские лицензии

Скоринг контрагентов

Лицензии на алкоголь

Мониторинг СМИ

Признаки хозяйственной деятельности

Репутационные риски

Комплаенс

Компания ООО ЮЖНЫЙ ПОРТ 88, адрес: Свердловская обл. , г. Екатеринбург, ул. Профсоюзная, д. 81 кв. 16 зарегистрирована 05.05.2010. Организации присвоены ИНН 6674355321, ОГРН 1106674009045, КПП 667901001. Основным видом деятельности является торговля розничная лекарственными средствами в специализированных магазинах (аптеках), всего зарегистрировано 31 вид деятельности по ОКВЭД. Связи с другими компаниями отсутствуют.
Количество совладельцев (по данным ЕГРЮЛ): 1, ликвидатор — Осянов Олег Равилович. Размер уставного капитала 10 000₽.
Компания ООО ЮЖНЫЙ ПОРТ 88 не принимала участие в тендерах. В отношении компании было возбуждено 3 исполнительных производства. ООО ЮЖНЫЙ ПОРТ 88 не участвовало в арбитражных делах.
Реквизиты ООО ЮЖНЫЙ ПОРТ 88, юридический адрес, официальный сайт и выписка ЕГРЮЛ доступны в системе СПАРК (демо-доступ бесплатно).

Полная проверка контрагентов в СПАРКе

• Неоплаченные долги
• Арбитражные дела
• Связи
• Реорганизации и банкротства
• Прочие факторы риска

Полная информация о компании ООО ЮЖНЫЙ ПОРТ 88

299₽

• Регистрационные данные компании
• Руководитель и основные владельцы
• Контактная информация
• Факторы риска
• Признаки хозяйственной деятельности
• Ключевые финансовые показатели в динамике
• Проверка по реестрам ФНС

Купить Пример

999₽

Включен мониторинг изменений на год

• Регистрационные данные компании
• История изменения руководителей, наименования, адреса
• Полный список адресов, телефонов, сайтов
• Данные о совладельцах из различных источников
• Связанные компании
• Сведения о деятельности
• Финансовая отчетность за несколько лет
• Оценка финансового состояния

Купить Пример

Бесплатно

• Отчет с полной информацией — СПАРК-ПРОФИЛЬ
• Добавление контактных данных: телефон, сайт, почта
• Добавление описания деятельности компании
• Загрузка логотипа
• Загрузка документов

Редактировать данные

СПАРК-Риски для 1С

Оценка надежности и мониторинг контрагентов

Узнать подробности

Заявка на демо-доступ

Заявки с указанием корпоративных email рассматриваются быстрее.

Вход в систему будет возможен только с IP-адреса, с которого подали заявку.

Компания

Телефон

Вышлем код подтверждения

Эл. почта

Вышлем ссылку для входа

Нажимая кнопку, вы соглашаетесь с правилами использования и обработкой персональных данных

Номера портов — Filr 4.3: Справочник по пользовательскому интерфейсу администратора

В Табл. 13-3 перечислены порты, которые необходимо учитывать при настройке Filr. На рис. 13-1 графически показано, как некоторые порты используются в развертывании Filr.

Рекомендуется не менять номера портов по умолчанию.

Таблица 13-3 Номера портов Filr

80, 443	Стандартные порты веб-сервера
8080, 8443	Порты Tomcat по умолчанию для устройства Filr При установке Filr Tomcat устанавливается вместе с программным обеспечением Filr. Filr использует Tomcat в качестве автономного веб-сервера для доставки данных пользователям Filr в их веб-браузеры. Дополнительные сведения о Tomcat см. на веб-сайте Apache Tomcat.
9090, 9443	Порт Jetty для устройства (интерфейс администратора)
9080	порт Apache/HTTPD
8005	Порт выключения по умолчанию Описание порта выключения см. в разделе Tomcat — порт выключения.
8009	Порт AJP по умолчанию Описание порта протокола Apache JServ см. в разделе Коннектор AJP.
22	Порт SSH для устройства
111	утилита rpcbind
1099	Порт Java RMI
4330	порт ФАМТ
7380, 7443	Порты RRD-REST ганглиев
8380, 8381	Порты причала по умолчанию
8642, 8649, 8650, 8651, 8652	Порт веб-интерфейса Ganglia
1199	Порт реестра Lucene RMI
1188	Порт сервера Lucene
5432	Исходящий порт PostgreSQL
3306	Исходящий порт MySQL
1433	Порт сервера Microsoft SQL
25, 465	Исходящие порты SMTP и SMTPS
6901	Порт OES ​​DFS JetStream
524/TCP	Доступ к серверу OES через NCP
137/TCP, 137/UDP, 138/UDP, 139/TCP, 445/TCP	Серверы доступа через CIFS
88	Порт Kerberos
11211	Используется для кэширования memcached в кластере устройств
636	Безопасный порт LDAP
389	Незащищенный порт LDAP

Рис. 13-1 Использование порта Filr

Какие сетевые порты используются системой управления идентификацией (IdM)?

Окружающая среда

• Red Hat Enterprise Linux (ВСЕ)
• Управление идентификацией (IdM)
• IPA-сервер
• IPA-клиент

Выпуск

• Какие сетевые порты используются Identity Management (IdM)/IPA?
• Какие сетевые порты используются Identity Management (IdM)?
• Какие порты требуются для управления идентификацией (IdM)/IPA?
• Какие порты брандмауэра необходимо открыть для IdM (IPA)?
• Какие порты брандмауэра необходимо открыть для работы сервера и клиентов IPA?

Разрешение

Клиенты IdM -> Сервер IdM

Связь со службой каталогов Служба имен

Имя	Порт назначения / Тип	Назначение
HTTP/HTTPS	80 / 443 TCP	Взаимодействие средств администрирования WebUI и IPA CLI.
LDAP/LDAPS	389/636 TCP	.
Kerberos	88/464 TCP и UDP	связь для аутентификации
DNS	53 TCP и UDP	, используемая также для автообнаружения, авторегистрации и аутентификации высокой доступности (sssd), опционально
NTP	123 UDP	сетевой протокол времени, опционально
kadmind	464/749 TCP	используется для генерации принципала, смены пароля и т. д.

Сервер IdM Сервер IdM (т. е. реплика)

Связь со службой каталогов Служба имен

Имя	Порт назначения/Тип	Назначение
HTTP/HTTPS	80/443 TCP	Взаимодействие средств администрирования WebUI и IPA CLI.
LDAP/LDAPS	389/636 TCP	.
Kerberos	88/464 TCP и UDP	связь для аутентификации
DNS	53 / TCP и UDP	, используемая также для автообнаружения, авторегистрации и аутентификации высокой доступности (sssd), дополнительно
NTP	123 UDP	сетевой протокол времени, опционально
kadmind	464/749 TCP	используется только через локальный хост
жетон	7389 TCP	Связь между сервером и репликой
реплика конф	9443/9444/9445 TCP	Конфигурация реплики, необходима только во время первоначальной установки реплики — только для IPAv3/RHEL6 (вообще не требуется в IPAv4/RHEL7 и RHEL 8)
Экземпляр Dogtag поверх Tomcat	8005 и 8009/TCP	Внутренне на главных устройствах IPA порты 8005 и 8009 (TCP/TCP6) используются для запуска компонентов служб центра сертификации на адресах локального интерфейса 127. Добавить комментарий Отменить ответ Ваш адрес email не будет опубликован. Обязательные поля помечены * Комментарий * Имя * Email * Сайт