[RESUELTO] Error 405 de Kerberos

Marceld · 22 de marzo de 2023 - 13:54

Hola a todos,

Tenemos nuestro servidor WAPT Enterprise (actualizado) en producción en un servidor Ubuntu (también actualizado) desde hace más de un año.

Para obtener detalles de la versión:

WAPT 2.3.0.13516

Ubuntu 22.04.2 LTS

Queríamos alejarnos de NTLM en nuestro dominio y utilizar solo Kerberos.

Por lo tanto, procedimos a configurar WAPT con Kerberos.

- Todas las configuraciones cumplen los requisitos previos (sección de instalación de Debian)
- Seguimos la documentación sobre "fortalecer la seguridad de su servidor WAPT" (excepto la parte del Firewall que implementaremos después de Kerberos).

Todo el proceso de "configuración y postconfiguración de Kerberos" se desarrolló sin problemas.

Sin embargo, ahora es imposible conectarse desde el centro de software WAPT.

Si sigo la documentación esto arroja:
- use_kerberos=True está habilitado correctamente tanto en el lado del cliente como en el del servidor
- El Keytab es bueno y se ajusta a lo que presenta la documentación
- El comando "kinit -k -t /etc/nginx/http-krb5.keytab srvwapt\$@AD.TRANQUIL.IT" efectivamente genera un ticket para el servidor (klist)
- En una PC cliente, utilizando la consola del sistema y el comando "wapt-get register", puedo registrar exitosamente el dispositivo:

C:\windows\system32>wapt-get register
Usando el archivo de configuración: C:\Program Files (x86)\wapt\wapt-get.ini
Registrando el host en el servidor: https://srvwapt.toto.local
Host registrado correctamente en el servidor https://srvwapt.toto.local.

Si ejecuto una prueba usando el comando Curl, obtengo un error: http/1.1 405 MÉTODO NO PERMITIDO:

> GET /add_host_kerberos HTTP/1.1
> Host: frscmwapt.scmlemans.com
> Authorization: Negotiate CLE_EFFACE
> User-Agent: curl/7.81.0
> Accept: */*
>
* TLSv1.2 (IN), encabezado TLS, datos suplementarios (23):
* Marcar el paquete como no compatible con multiuso
< HTTP/1.1 405 MÉTODO NO PERMITIDO
< Servidor: nginx
< Fecha: Mié, 22 Mar 2023 12:33:32 GMT
< Content-Type: text/html; charset=utf-8
< Content-Length: 178
< Connection: keep-alive
< WWW-Authenticate: Negotiate KEY_ERAS
< WWW-Authenticate: Basic realm=""
< Allow: OPTIONS, POST, HEAD
< Strict-Transport-Security: max-age=63072000
<
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 3.2 Final//EN">
<title>405 Method Not Allowed</title>
<h1>Method Not Allowed</h1>
<p>The method is not allowed for the requested URL.</p>
* La conexión n.° 0 con el host srvwapt.toto.local se mantuvo intacta.

Si hago la prueba en Firefox como se mencionó una o dos veces en el foro, obtengo el mismo resultado (MÉTODO 405 NO PERMITIDO)

Si solicito un ticket desde la PC de un usuario, me devuelve esto:

C:\windows\system32>klist get https://srvwapt.toto.local

LogonId es 0:0x3e7
Error al llamar a la API LsaCallAuthenticationPackage (subestado GetTicket): 0x6fb

klist falló con 0xc000018b/-1073741429: La base de datos SAM del servidor Windows no tiene una cuenta de equipo para la relación de confianza con esta estación de trabajo.

Finalmente, ningún usuario puede utilizar ahora el centro de software (lo que tiene sentido para mí ya que la solicitud de Kerberos falló)
Sin embargo, la consola de administración todavía funciona (lo que tiene sentido ya que no utiliza Kerberos).

Perdón por el "muro de texto" y gracias por leer.

22 de marzo de 2023 - 14:41

Si ve el mensaje "Método no permitido", entonces todo está bien

También puedes intentar utilizar la siguiente URL en tu navegador:

Código: Seleccionar todo

https://srvwapt.mydomain.lan/api/v3/login_kerberos

Para que Kerberos funcione en el lado de autoservicio, debe agregar lo siguiente al archivo wapt-get.ini de sus agentes:

Código: Seleccionar todo

[global]
use_kerberos=1
service_auth_type=waptserver-ldap

y en el lado del servidor Wapt, configure LDAP en /opt/wapt/conf/waptserver.ini

poner :

Código: Seleccionar todo

[options]
ldap_auth_server = srvads.mydomain.lan
ldap_auth_base_dn = DC=mydomain,DC=lan
ldap_auth_ssl_enabled = False
verify_cert_ldap = False
ldap_account_service_login = wapt-ldap@mydomain.lan
ldap_account_service_password = password

luego reinicie el servidor wapt:

Código: Seleccionar todo

systemctl restart waptserver

Marceld · 22 de marzo de 2023 - 14:59

Hola Sfonteneau,

ENTONCES :

https://srvwapt.midominio.lan/api/v3/login_kerberos

Inicialmente indica "Autenticación OK":

: ok.JPG (27,79 KB) Visto 7588 veces

[global]
use_kerberos=1
tipo_de_autenticación_de_servicio=waptserver-ldap

Ese es precisamente el punto que quería plantear. He revisado la documentación y el foro exhaustivamente, y a veces dice "1" y otras "Verdadero". ¿Son ambas opciones aceptables?

[opciones]
ldap_auth_server = srvads.midominio.lan
ldap_auth_base_dn = DC=midominio,DC=lan
ldap_auth_ssl_enabled = Falso
verify_cert_ldap = Falso
ldap_account_service_login = wapt-ldap@midominio.lan
ldap_account_service_password = contraseña

Ya había intentado agregarlos (los descomenté pero no cambió mi problema)
¿Solo necesita una cuenta de usuario estándar o requiere privilegios específicos?

Gracias por su tiempo.

22 de marzo de 2023 - 16:48

Marceld escribió: ↑22 de marzo de 2023 - 14:59

Ese es precisamente el punto que quería plantear. He revisado la documentación y el foro exhaustivamente, y a veces dice "1" y otras "Verdadero". ¿Son ambas opciones aceptables?

Sí, absolutamente, 1 = Verdadero así que puedes poner lo que quieras

¿Solo necesita una cuenta de usuario estándar o requiere privilegios específicos?

Necesita los derechos para leer el atributo memberof de los registros de usuario (puede probar esto con el pequeño software ldapadmin)

Marceld · 22 de marzo de 2023 - 18:42

Gracias por la herramienta.

La cuenta de usuario creada sí puede leer el atributo "Member Of".

Si las pruebas de Kerberos son correctas, pero el inicio de sesión único (SSO) del Centro de software falla, ¿cuál podría ser la causa?

23 de marzo de 2023 - 10:17

Lo único que no hemos comprobado es su paquete de reglas de autoservicio. ¿

Está instalado algún paquete de reglas de autoservicio? ¿

Recibe algún mensaje de error al abrirlo?

Marceld · 23 de marzo de 2023 - 12:05

Hola,

sí, existe un paquete de autoservicio para usuarios.

Funcionaba correctamente con la autenticación NTLM.

Sin embargo, muestra el mensaje "contraseña o nombre de usuario incorrectos" independientemente de si ingreso una contraseña o no.

Tampoco puedo abrirlo con una cuenta que tenga permisos de administrador local.

Que tenga un buen día.

23 de marzo de 2023 - 12:19

Si su agente está configurado correctamente de esta manera, no debería solicitar una contraseña:

Código: Seleccionar todo

[global]
use_kerberos=1
service_auth_type=waptserver-ldap

Entonces :

Código: Seleccionar todo

net stop waptservice
net start waptservice

Marceld · 23 de marzo de 2023 - 15:23

Si su agente está configurado correctamente de esta manera, no debería solicitar una contraseña:

Ah, vale, en otro tema especificaste que el ID y la contraseña siempre eran necesarios si alguna vez necesitábamos cambiar al administrador.

use_kerberos=1
tipo_de_autenticación_de_servicio=waptserver-ldap

Puedo confirmar que esta es efectivamente la configuración que tengo en mi cliente de prueba.

No veo nada en los registros del cliente sobre un posible error. ¿Hay algún lugar específico donde pueda encontrar los registros del intento de conexión?

Marceld · 23 de marzo de 2023 - 17:10

Para su información, y después de hablar con el soporte por teléfono:

Eso fue un error de mi parte:

Modifiqué la siguiente línea:

tipo_de_autenticación_de_servicio=waptserver-ldap

por :

tipo_de_autenticación_de_servicio=mywaptserver.toto.local

Eso fue un error de mi parte; esa línea no debería haber sido cambiada.

¡Gracias una vez más por su capacidad de respuesta!

Finalmente podremos deshacernos de NTLM