Gagal memasang NFS (with Kerberos) karena kesalahan “Server not found in database Kerberos”

Saat berlari:

sudo mount -t nfs4 -o sec=krb5 sol.domain.com:/ /mnt

Saya mendapatkan kesalahan ini pada klien:

mount.nfs4: access denied by server while mounting sol.domain.com:/

Dan di syslog server saya baca

UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for nfs/ip-#-#-#-#.ec2.internal@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/EC2.INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/COM@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/DOMAIN.COM@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for nfs/ip-#-#-#-#.ec2.internal@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/EC2.INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/INTERNAL@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/COM@SOL.DOMAIN.COM, Server not found in Kerberos database
UNKNOWN_SERVER: authtime 0,  nfs/mercury.domain.com@SOL.DOMAIN.COM for krbtgt/DOMAIN.COM@SOL.DOMAIN.COM, Server not found in Kerberos database

File keytab server:

ubuntu@sol:~$ sudo klist -e -k /etc/krb5.keytab
Keytab name: WRFILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   7 host/sol.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   7 host/sol.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   7 host/sol.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   7 host/sol.domain.com@SOL.DOMAIN.COM (des-cbc-crc) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   9 nfs/sol.domain.com@SOL.DOMAIN.COM (des-cbc-crc)

File keytab klien:

ubuntu@mercury:~$ sudo klist -e -k /etc/krb5.keytab
Keytab name: WRFILE:/etc/krb5.keytab
KVNO Principal
---- --------------------------------------------------------------------------
   3 host/mercury.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   3 host/mercury.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   3 host/mercury.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   3 host/mercury.domain.com@SOL.DOMAIN.COM (des-cbc-crc) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (aes256-cts-hmac-sha1-96) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (arcfour-hmac) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (des3-cbc-sha1) 
   3 nfs/mercury.domain.com@SOL.DOMAIN.COM (des-cbc-crc)

— Kendall Hopkins
sumber

silakan bagikan file /etc/krb5.conf dan /var/kerberos/krb5kdc/kdc.conf Anda dari server dan klien Anda.

— cikuraku

@cikuraku Saya hanya menggunakan yang default Ubuntu dengan pengecualian menambahkan allow_weak_crypto = truesampai akhir.

— Kendall Hopkins

Apakah alamat ip untuk mercury.domain.com terbalik ke nama host yang benar? Apakah mercury.domain.com memiliki lebih dari satu alamat yang dikonfigurasi pada antarmuka-nya?

— larsks

Juga ... apakah ada klien yang berhasil memasang saham dari server ini? Atau hanya ini klienmu?

— larsks

Tidak ada klien yang terhubung.

— Kendall Hopkins

Tampaknya resolusi nama terbalik untuk IP tidak cocok dengan nama yang Anda harapkan. Pastikan bahwa mercury.domain.comdan sol.domain.comadalah pertama nama yang Anda tambahkan ke /etc/hostssetelah alamat IP yang relevan. Agar aman, tambahkan saja beberapa baris di atas dengan alamat IP mesin dan nama host yang diharapkan oleh kerberos.

10.x.y.z sol.domain.com sol ip-blah-blah
10.a.b.c mercury.domain.com mercury ip-other-other

Pastikan bahwa kedua garis ini hadir di kedua klien dan server.

Ini juga merupakan ide yang bagus untuk memverifikasi pengaturan dengan menjalankan perintah berikut pada klien dan server. Pastikan bahwa nama host pertama yang dicetak untuk setiap alamat IP adalah yang Anda harapkan.

getent hosts 10.x.y.z 10.a.b.c

— chutz
sumber