Probleme mit Samba und AD

[schatten]

Hallo,

ich hab ein Problem mit meiner Kerberos / Samba mit AD Installation.

Ich habe einige Tutorials aus dem Internet durchgelesen, alles gemaked (/usr/ports/security/heimdal, /usr/ports/security/krb5, /usr/ports/net/openldap22-client, /usr/ports/net/samba3), die Config-Files dementsprechend angepaßt, ...

Also, Kerberos scheint zu klappen:
nirvana# kinit
shadow@KELLER's Password:
kinit: NOTICE: ticket renewable lifetime is 1 week
nirvana# klist
Credentials cache: FILE:/tmp/krb5cc_0
Principal: shadow@KELLER

Issued Expires Principal
May 4 11:38:41 May 4 21:36:05 krbtgt/KELLER@KELLER

So, nun wäre der nächste Schritt der Domänen (Win 2k3 Server) zu joinen:
nirvana# net ads join KELLER -U shadow
shadow's password:
Assertion failed: ((&_m->os)->initialized == K5_MUTEX_DEBUG_INITIALIZED), function krb5_crypto_us_timeofday, file c_ustime.c, line 89.
Abort (core dumped)

So, das Problem ist, mein Problem ist in keiner Suchmaschine zu finden. :-(
Ich hoffe jemand von euch kann mir helfen...

Grüße,
Dirk.

 

[morph]

Die Fehlermeldung sieht ziemlich eindeutig aus. Kerberos arbeitet ja bekanntlich auch mit einer Art Timestamp. Die Spezifikationen für diesen Timestamp kenne ich nicht. Üblicherweise sollte die Zeitdifferenz der beteiligten Systemuhren, also der vom Client und der vom Server nicht mehr als 5 Minuten betragen. Das wäre der erste Punkt den ich überprüfen würde. Als zweites könntest du noch checken, ob es vielleicht am Zeitformat liegt. In deiner Fehlermeldung steht etwas von US-Time. Vielleicht gibt es da schon einen Unterschied zum Server. Generell kann man sagen, dass bei fast jeder Art von Problemen mit Verschlüsselung immer erst die Zeit überprüft werden sollte, da diese ein elementarer Bestandteil vieler dieser Protokolle ist.

 

[schatten]

Üblicherweise sollte die Zeitdifferenz der beteiligten Systemuhren, also der vom Client und der vom Server nicht mehr als 5 Minuten betragen. Das wäre der erste Punkt den ich überprüfen würde.

Ok, hab ich gemacht. Ein
net time set
hat auch brav vom Win2k-Server die aktuelle Domänenzeit geholt.

Vielleicht gibt es da schon einen Unterschied zum Server. Generell kann man sagen, dass bei fast jeder Art von Problemen mit Verschlüsselung immer erst die Zeit überprüft werden sollte, da diese ein elementarer Bestandteil vieler dieser Protokolle ist.

Ne, hat auch so gesponnen, hatte allerdings beim rumspielen noch ne zweite Fehlermeldung, die irgendwas von einem ins Nirvana zeigenden Pointer bei free() meinte.

Ich hab mir jetzt die FreeBSD 5.4rc4 gezogen und versuchs mal damit. kinit und klist gehen schon, muß nur warten bis Samba kompiled ist.

Vielen Dank erst einmal,
Dirk.

 

[schatten]

Hallo,

Problem größtenteils gelöst. Statt der 5.3er FreeBSD die 5.4erRC4 installiert und geht. Bis auf kleine Probleme mit wbinfo -u, die ich aber auf eine Fehlkonfig meinerseits zurückführe.

Danke,
Dirk.

 

[morph]

Das freut mich zu hören. Wenn ich mal ein Problem damit habe, wende ich mich an dich ;-)