Việc gắn kết NFS (với Kerberos) không thành công do Máy chủ không tìm thấy trong cơ sở dữ liệu Kerberos Lỗi lỗi

Khi chạy:

sudo mount -t nfs4 -o sec=krb5 sol.domain.com:/ /mnt

Tôi nhận được lỗi này trên máy khách:

mount.nfs4: access denied by server while mounting sol.domain.com:/

Và trên syslog máy chủ tôi đọc

UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for nfs/ip-#-#-#-#.ec2.internal@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/EC2.INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/COM@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/DOMAIN.COM@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for nfs/ip-#-#-#-#.ec2.internal@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/EC2.INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/COM@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/DOMAIN.COM@SOL.DOMAIN.COM, Server not found in Kerberos database

Tập tin keytab của máy chủ:

ubuntu@sol:~$ sudo klist -e -k /etc/krb5.keytab
Keytab name: WRFILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   7 host/sol.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   7 host/sol.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   7 host/sol.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   7 host/sol.domain.com@SOL.DOMAIN.COM (des-cbc-crc) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (des-cbc-crc)

Tệp keytab của khách hàng:

ubuntu@mercury:~$ sudo klist -e -k /etc/krb5.keytab
Keytab name: WRFILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   3 host/mercury.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   3 host/mercury.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   3 host/mercury.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   3 host/mercury.domain.com@SOL.DOMAIN.COM (des-cbc-crc) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (des-cbc-crc)

— Kendall Hopkins
nguồn

vui lòng chia sẻ tập tin /etc/krb5.conf và /var/kerberos/krb5kdc/kdc.conf từ máy chủ và máy khách của bạn.

— cikuraku

@cikuraku Tôi chỉ đang sử dụng các Ubuntu mặc định ngoại trừ việc thêm allow_weak_crypto = truevào cuối.

— Kendall Hopkins

Địa chỉ IP cho mercury.domain.com có đảo ngược với tên máy chủ chính xác không? Mercury.domain.com có nhiều hơn một địa chỉ được cấu hình trên các giao diện của nó không?

— larsks

Ngoài ra ... có khách hàng nào gắn thành công cổ phiếu từ máy chủ này không? Hay đây là khách hàng duy nhất của bạn?

— larsks

Không có khách hàng đang kết nối.

— Kendall Hopkins

Có vẻ như độ phân giải tên ngược cho IP không khớp với tên bạn đang mong đợi. Đảm bảo rằng mercury.domain.comvà sol.domain.comlà tên đầu tiên bạn đã thêm vào /etc/hostssau địa chỉ IP có liên quan. Để an toàn, chỉ cần thêm một vài dòng trên đầu với địa chỉ IP của máy và tên máy chủ mà kerberos mong đợi.

10.x.y.z sol.domain.com sol ip-blah-blah
10.a.b.c mercury.domain.com mercury ip-other-other

Đảm bảo rằng cả hai dòng này đều có mặt trên cả máy khách và máy chủ.

Nó cũng là một ý tưởng tốt để xác minh thiết lập bằng cách chạy lệnh sau trên cả máy khách và máy chủ. Đảm bảo rằng tên máy chủ đầu tiên được in cho mỗi địa chỉ IP là tên bạn đang mong đợi.

getent hosts 10.x.y.z 10.a.b.c

— tương ớt
nguồn