2008r2域内，客户端身份验证问题
问题
答案
-
Hi ,
请参考以下的链接：
SMB share access By IP
Kerberos is not used when you connect to SMB shares by using IP address
Network security: LAN Manager authentication level
AD中默认是使用kerberos的认证方式，在kerberos的认证方式出现问题的情况下，才会去尝试使用NTLM。另外在以IP地址进行访问域内共享资源的时候，使用的是NTLM的验证方式。
此致
Candy
Please remember to mark the replies as an answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com
- 已编辑 Candy LuoMicrosoft contingent staff, Moderator 2019年3月7日 10:28
- 已标记为答案 nelson2004 2019年3月8日 2:13
全部回复
-
Hi ,
>>同一站点内，有3台dc，都是gc，客户端pc登录操作系统或访问域内资源连接服务器进行身份验证是在一台特定dc（fsmo所在dc)，还是3台dc随机连接进行身份验证？
这涉及到DC locator的工作原理：
1.当客户端在登陆时，会向DNS查询SRV记录和A记录，DNS会按照SRV设置的权重顺序来返回DC的IP地址。（您也可以通过设置SRV的权重和优先级来控制站点中DC的响应顺序）
2.一旦知道了地址，客户端就会依次向DC发送一个LDAP“Ping”。在发送每个数据包之后，客户端等待响应，如果没有收到响应，则它将数据包发送到下一个域控制器。客户端继续此过程，直到它收到指定所请求服务或已尝试所有域控制器的有效响应。
详细的信息可以参考以下的文章：
The DC Locator Process, The Logon Process, Controlling Which DC Responds in an AD Site, and SRV Records
Domain Controller Locator : an overview
https://blogs.technet.microsoft.com/arnaud_jumelet/2010/07/05/domain-controller-locator-an-overview/
>>ntlm/kerberos是否选择认证服务器的方式都是一致的？
ntlm是一种基于challenge/response消息交互模式的认证过程，而kerberos是一种集中式的认证方式。
NTLM和Kerberos之间的主要区别是需要连接到域控制器。在Kerberos中，客户端必须从密钥分发中心（KDC）请求Kerberos票证，这是一个驻留在域控制器上的进程。在NTLM中，服务器通过联系域控制器来验证客户端的NTLM凭据。
请参考下图中NTLM和kerberos的认证过程：
此致
Candy
Please remember to mark the replies as an answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com
- 已编辑 Candy LuoMicrosoft contingent staff, Moderator 2019年3月6日 8:18
- 已标记为答案 nelson2004 2019年3月7日 2:45
- 取消答案标记 nelson2004 2019年3月7日 2:47
-
Hi ,
请参考以下的链接：
SMB share access By IP
Kerberos is not used when you connect to SMB shares by using IP address
Network security: LAN Manager authentication level
AD中默认是使用kerberos的认证方式，在kerberos的认证方式出现问题的情况下，才会去尝试使用NTLM。另外在以IP地址进行访问域内共享资源的时候，使用的是NTLM的验证方式。
此致
Candy
Please remember to mark the replies as an answers if they help.
If you have feedback for TechNet Subscriber Support, contact tnmff@microsoft.com
- 已编辑 Candy LuoMicrosoft contingent staff, Moderator 2019年3月7日 10:28
- 已标记为答案 nelson2004 2019年3月8日 2:13
