Autenticazione GlobalScan NX Serverless Active Directory non riuscita con il domain controller Windows Server 2008 R2
Leggere il codice QR con il dispositivo portatile.
Il dispositivo e Syslog indicano l'errore "Autenticazione non riuscita. L'account potrebbe non essere valido, la password scaduta o potrebbe essere stato impostato un blocco. Contattare l'amministratore di sistema". (Dati PacketCapture: "KRB Error:KRB5KDC_ERR_ETYPE_NOSUPP"). Perché succede?
La causa dell'errore dell'autenticazione è la mancata corrispondenza tra i meccanismi di crittografia Kerberos supportati da GlobalScan NX (GSNX) (Serverless) e Windows Server 2008 R2. Espressamente, la versione GSNX Serverless supporta solo una serie limitata di meccanismi di crittografia se messa a confronto con la versione GSNX Server
Per impostazione predefinita, Windows Server 2008 R2 disabilita le crittografie Kerberos DES (des-cbc-crc, des-cbc-md5). Invece, Windows Server 2008 R2 accetta i seguenti metodi di crittografia:
- aes256-CTS-HMAC-sha1-96
- aes128-CTS-HMAC-sha1-96
- rc4 hmac
Per riferimento, consultare le seguenti informazioni sul sito Web Microsoft:
http://support.microsoft.com/kb/977321
GSNX (Serverless) non supporta nessuno dei metodi preferiti dal SO. GSNX (Server) supporta "rc4 hmac".
Come soluzione alternativa, abilitare il supporto di crittografia "DES" su Windows Server 2008 R2, come spiegato in precedenza nella Microsoft KB. È necessario abilitare sia "DES_CBC_CRC" che "DES_CBC_MD5" per la "Sicurezza di rete: Configura tipi di crittografia consentiti per la policy Kerberos". Si consiglia di modificare l'impostazione della policy nelle due seguenti posizioni:
- Policy domain controller predefinito > Policy Configurazione > computer > Impostazioni Windows > Impostazioni di sicurezza > Policy locali > Opzioni di sicurezza
- Policy dominio predefinito > Policy Configurazione > computer > Impostazioni Windows > Impostazioni di sicurezza > Policy locali > Opzioni di sicurezza
Nota: per apportare le modifiche, è necessario aggiornare la policy dopo ogni modifica. Per eseguire questa operazione, utilizzare "gpupdate" dal prompt dei comandi.