[Outlook 2003] Kerberos zorgt voor login popup

[rajackar]

Sinds kort ben ik met een test bezig om oulook alleen nog maar met kerberos authenticatie te laten werken; dus zonder fallback.
Nu werkt dit op zich prima alleen om de zoveel tijd vraagt outlook bij het opstarten om de gebruikersnaam en wachtwoord van de gebruiker. Dit scherm blijft zich herhalen ongeacht of het juiste wachtwoord wordt gegeven. De aanmeldingen worden voor zowel de DC als de Exchange server gevraagd. Na een aantal keer ingeven wordt op de achtergrond wel de juiste mailbox geopend maar om ook extra mailboxen te openen moet er eerst op annuleren worden gedrukt om vervolgens offline modus weer uit te schakelen. Om een duistere reden lukt het helemaal opstarten dan wel.
Nu vraag ik me af of dit kan komen omdat we 2 2003 DC's en 1 2000 DC hebben.
Op advies van een ander forum heb ik al ingesteld dat Kerberos TCP gebruikt ipv UDP maar dat heeft het probleem nog niet verholpen.

[Verwijderd]

Yep, je moet 2003 DC's hebben. Gaat het om Exchange 2003?

http://www.microsoft.com/.../Outlook2K3_Features.mspx

[sanfranjake]

Outlook en Exchange zijn sotware

Windows Operating Systems > Software Algemeen

[rajackar]

Verwijderd schreef op maandag 14 maart 2005 @ 17:21:
Yep, je moet 2003 DC's hebben. Gaat het om Exchange 2003?

http://www.microsoft.com/.../Outlook2K3_Features.mspx

Maar windows2000 ondersteunt ook kerberos. Zou het daarom niet ook moeten werken als de aanvraag door een win2000 DC wordt behandeld?

[Rolfie]

rajackar schreef op dinsdag 15 maart 2005 @ 08:47:
[...]

Maar windows2000 ondersteunt ook kerberos. Zou het daarom niet ook moeten werken als de aanvraag door een win2000 DC wordt behandeld?

Waarschijnlijk werkt Windows 2000 kerberis niet op de zelfde mannier als windows 2003.
Anders zal het niet zo vermeld worden op microsoft site

[MrBarBarian]

Rolfie schreef op dinsdag 15 maart 2005 @ 09:13:
[...]


Waarschijnlijk werkt Windows 2000 kerberis niet op de zelfde mannier als windows 2003.
Anders zal het niet zo vermeld worden op microsoft site

Dat doet het wel.. Kerberos is nl een protocol dat niet door MS is uitgevonden (maar uiteraard heeft MS het wel weer (deels) verkracht)... W2k en w2k3 ondersteunen het beide..

@TS
Ik zou eens kijken naar de realm instellingen, en kijk eens naar de tickets die de gebruiker krijgt (dmv klist)

[rajackar]

Ik heb de tickets al bekeken maar daar kan ik weinig in terug vinden. De tickets die de client heeft lijken allemaal goed te zijn. Het stomme is dat het ook maar af en toe fout gaat. Als ik zo'n login schermpje krijg is het ook altijd voor de win2000 DC en daarna de exchange 2003 server, en dat dan in een eindeloze loop. Dus nooit voor een win2k3 DC. Het is dus wel duidelijk in welke hoek het probleem zit maar wat er precies aan de hand is vraag ik me wel af.

[MrBarBarian]

Je kan een network-sniffer gebruiken (bv ethereal oid) om te kijken wat er nu daadwerkelijk fout gaat.. Mijn ervaring is dat MS nogal slecht aan error-logging (understatement) doet.. Terwijl Kerberos zelf wel vrij duidelijke fouten geeft..

Ik neem trouwens aan dat je ervoor hebt gezorgt dat de DC's een trusted-relation hebben, en je deze ook getest hebt?

[rajackar]

MrBarBarian schreef op dinsdag 15 maart 2005 @ 09:52:
Je kan een network-sniffer gebruiken (bv ethereal oid) om te kijken wat er nu daadwerkelijk fout gaat.. Mijn ervaring is dat MS nogal slecht aan error-logging (understatement) doet.. Terwijl Kerberos zelf wel vrij duidelijke fouten geeft..

Ik neem trouwens aan dat je ervoor hebt gezorgt dat de DC's een trusted-relation hebben, en je deze ook getest hebt?

De DC's zitten in hetzelfde domein dus een extra trusted relation lijkt me niet nodig toch?
Ik heb idd ook al een packet sniffer gebruikt. De output ben ik nog aan het doorspitten.

[Berimbau]

Ik weet niet of dit soort meldingen te maken kunnen hebben met tijdverschil tussen de client en de DC's? Heb je hier al eens naar gekeken of de tijd goed staat?

Als het verschil meer dan 5 minuten (standaard kerberos policy) is dan kan het wel eens mis gaan.

[rajackar]

Tijd is ok. Ik heb eerst de tijd synchronisatie gedaan voor ik aan kerberos zonder fallback ben begonnen.

[Verwijderd]

je zou hier nog eens naar kunnen kijken of die workaround werkt:
http://forums.msexchange....b=get_topic;f=16;t=000296

[rajackar]

Verwijderd schreef op dinsdag 15 maart 2005 @ 14:14:
je zou hier nog eens naar kunnen kijken of die workaround werkt:
http://forums.msexchange....b=get_topic;f=16;t=000296

Valt je misschien iets op aan de username van de laatste poster in dat topic?

[Verwijderd]

rajackar schreef op dinsdag 15 maart 2005 @ 16:09:
[...]

Valt je misschien iets op aan de username van de laatste poster in dat topic?

doh Laat maar dan