date:20111004

Errore di join ad Active Directory

2011-10-04 Per discussione Giovanni Bellonio


Buongiorno a tutta la lista,

la rete aziendale è basata su active directory (windows 2008 R2) e stiamo
migrando da domini locali delle varie sedi ad un unico dominio. Poiché una
delle mie 2 postazioni (VBWKS8) è una debian testing la volevo mettere
sotto dominio e per questo ho seguito le guide [1], [2], [3], [4].

Ho configurato smb.conf, krb.conf, nsswitch.conf (come sotto riportato), ma
quando provo ad effettuare la join ottengo:

root@VBWKS8:/home/dpp1058157# net ads join -U dpp1058157
Enter dpp1058157's password:
Failed to join domain: Failed to set account flags for machine account
(NT_STATUS_ACCESS_DENIED)

root@VBWKS8:/home/dpp1058157# net ads join MIO\/MIAOU\/Computer -W 
MIO.DOMINIO.IT -S SERVER01.MIO.DOMINIO.IT -U dpp1058157

Enter dpp1058157's password:
Failed to join domain: Failed to set account flags for machine account
(NT_STATUS_ACCESS_DENIED)

Aggiungo che l'utente con cui effettuo la join (dpp1058157) ha diritti di
amministratore limitati all'unità organizzativa -MIAOU- cui appartengo, 
e con
lo stesso utente riesco a gestire i computer con OS di casa microsoft in 
tale
unità organizzativa (per portare sotto tale dominio i pc devo prima 
creare il
pc sotto MIAOU/Computer e poi cambiare il dominio di appartenenza al 
singolo pc).


Di seguito vi invio ciò che ottengo interrogando tramite klist e net ads
sulla mia rete:

root@VBWKS8:/home/dpp1058157# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: dpp1058...@mio.dominio.it

Valid starting ExpiresService principal
10/03/11 11:06:05  10/03/11 21:06:10 krbtgt/mio.dominio...@mio.dominio.it
renew until 10/04/11 11:06:05

root@VBWKS8:/home/dpp1058157# net ads info
LDAP server: 10.254.5.200
LDAP server name: SERVER01.mio.dominio.it
Realm: MIO.DOMINIO.IT
Bind Path: dc=MIO,dc=DOMINIO,dc=IT
LDAP port: 389
Server time: lun, 03 ott 2011 12:43:30 CEST
KDC server: 10.254.5.200
Server time offset: 0

root@VBWKS8:/home/dpp1058157# net ads lookup
Information for Domain Controller: 10.254.5.200

Response Type: LOGON_SAM_LOGON_RESPONSE_EX
GUID: 971a4e0b-b9b9-4cbc-92e3-f81b21c3ddea
Flags:
Is a PDC:   yes
Is a GC of the forest:  yes
Is an LDAP server:  yes
Supports DS:yes
Is running a KDC:   yes
Is running time services:   yes
Is the closest DC:  no
Is writable:yes
Has a hardware clock:   yes
Is a non-domain NC serviced by LDAP server: no
Is NT6 DC that has some secrets:no
Is NT6 DC that has all secrets: yes
Forest:mio.dominio.it
Domain:mio.dominio.it
Domain Controller:SERVER01.mio.dominio.it
Pre-Win2k Domain:MIO
Pre-Win2k Hostname:SERVER01.mio.dominio.it
Server Site Name :CENTRALE
Client Site Name :
NT Version: 5
LMNT Token: 
LM20 Token: 

Come posso effettuare la join, qualche suggerimento?

_smb.conf:_
[global]

## Browsing/Identification ###

# Change this to the workgroup/NT-domain name your Samba server will part of
   password server = 10.254.5.200
   wins server = 10.254.5.200

   auth methods = winbind
   encrypt passwords = true

   realm = MIO.DOMINIO.IT
   workgroup = MIO

   netbios name = SERVER01
   server string = SERVER01.MIO.DOMINIO.IT

   idmap uid = 1-2
   idmap gid = 1-2

# default = NomeShare

   os level = 20
   security = ads

##preferred master = no
##client use spnego = yes

   winbind enum users = yes
   winbind enum groups = yes
   winbind use default domain = yes

   template shell = /bin/bash
   template homedir = /home/%U


# server string is the equivalent of the NT Description field
   server string = %h server

;   wins server = w.x.y.z
   dns proxy = no
;   name resolve order = lmhosts host wins bcast
;   interfaces = 127.0.0.0/8 eth0
;   bind interfaces only = yes
   log file = /var/log/samba/log.%m
# Cap the size of the individual log files (in KiB).
   max log size = 1000
# We want Samba to log a minimum amount of information to syslog. Everything
# should go to /var/log/samba/log.{smbd,nmbd} instead. If you want to log
# through syslog you should set the following parameter to something higher.
   syslog = 0
# Do something sensible when Samba crashes: mail the admin a backtrace
   panic action = /usr/share/samba/panic-action %d
# If you are using encrypted passwords, Samba will need to know what
# password database type you are using.
   passdb backend = tdbsam
   obey pam restrictions = yes
# This boolean parameter controls whether Samba attempts to sync the Unix
# password with the SMB password when the encrypted SMB password in the
# passdb is changed.
   unix password sync = yes
# For Unix password sync to work on a Debian GNU/Linux system, the following
# parameters must be set (thanks to Ian Kahan

Re: [semi OT] Postfix error (causa router): RISOLTO

2011-10-04 Per discussione Maurizio Scarpa

Provo a dare qualche info in mio possesso.
Quando lungo un percorso c'è una MTU non omogena i problemi sono
praticamente garantiti.
Dunque se c'è una ecapsulation (tipo Tunnel IPSEC, GRE, GTP, o altro) la
MTU si riduce necessariamente ad un valore inferiore per cui i due host
non sanno più gestire correttamente la dimensione del canale fisico
sottostante in quanto il primo segmento che incontrano (LAN locale) ha
MTU 1500 mentre magari il Path MTU verso altre destinazioni è ridotto.
Se questo è percettibile da uno dei due end-point non è detto che lo sia
analogamente dall'altro capo della comunicazione per questo tipicamente
si interviene su un altro parametro del TCP (non funziona con UDP) che
prende il nome di MSS.

La cosa consigliata da tutti (cisco compresa) è settare l'MSS dei
pacchetti TCP in uscita in modo che la comunicazione si stabilisca
evitando ai pacchetti singoli di superare la dimensione del massimo
pacchetto trasmissibile senza frammentazione.

Un bell'articolo sul fenomeno e sulle sue contromisure è qui:
http://www.cisco.com/en/US/tech/tk827/tk369/technologies_white_paper09186a00800d6979.shtml

Purtroppo è solo in inglese ma credo che si possa fare la medesima cosa
che si fa sul router agendo sul kernel del nostro Linux.

Ad esempio agendo con iptables ed ip route:
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS
--set-mss 1408

ip route add 192.168.1.0/24 dev eth0 advmss 1408

I due comandi (sono un mero esempio e vanno personalizzati in base alle
esigenze) vanno adoperati assieme perchè uno agisce sull'MSS nella
direzione fuori-dentro l'altro agisce sull'MSS dentro-fuori. In
particolare al posto della coda FORWARD portebbe essere adoperata la
coda OUTPUT. Il valore 1408 è un valore ragionevolmente basso ma non è
detto che sia l'unico valore valido.

Spero che questo possa aiutare nella solzuione definitiva del problema.

Il 04/10/2011 06:37, dea ha scritto:

Pero sappi che il problema potrebbe essere non remoto ma locale. Hai
il mano il tuo router di terminazione ? ci puoi mettere le mani a livello
di configurazione.
Io prima di dicevo di un problema sulle vpn legato al fatto che impongo
una MTU 1500 e questi router che mi danno quando arriva un codice di
risync della vpn per restare up anche senza traffico il router
scarta il pacchetto e la linea cade! per errore locale perche il
pacchetto e' piccolo e ad altri problemi...

No, il router di terminazione non è nostro, tuttavia non è stato minimamente
toccato negli ultimi mesi.
Di contro abbiamo già provato a forzare la sua MTU a 1500 ed anche a meno
senza risultati, quindi lo abbiamo lasciato come era prima (e come ha sempre
funzionato).
Ancora, la scheda di rete che si interfaccia verso il router ha una MTU di
1500 (standard).
Non rimane che dubitare del router che sta nel mezzo (quello che è stato
sostituito) ...

Luca

--
===
Ing. Maurizio Scarpa

Via Lucrezia Romana, 65
00043 - Ciampino (RM)
mail: scarpa...@gmail.com
skype: scarpam72
===

attachment: scarpam72.vcf

Re: problemi di connessione difficili da spiegare

2011-10-04 Per discussione Nicola Manca


Il 03/10/2011 10:47, Giuseppe Sacco ha scritto:

Buongiorno Nicola,

Il giorno lun, 03/10/2011 alle 09.54 +0200, Nicola Manca ha scritto:
[...]

Sostanzialmente con particolari router (il mio con un D-Link mentre
quello della mi ragazza con un Sitecom) Debian ha una navigazione
lentissima, con il 60% dei pacchetti persi al ping test e frequenti
blocchi di iceweasel durante la fase connessione al sito.

[...]

brancolo nel buio, qualche idea?


Confrontare l'MTU dei vari sistemi? Abbassare l'MTU sotto i 1400?

Ciao,
G.




Purtroppo non funziona, l'unica cosa che mi viene in mente è che sia 
un'incompatibilità hardware di qualche tipo, potrei provare ad 
installare windows o un'altra distro in una partizione e vedere che 
succede, ma ho qualche dubbio che dia risultati positivi.



--
Per REVOCARE l'iscrizione alla lista, inviare un email a 
debian-italian-requ...@lists.debian.org con oggetto unsubscribe. Per

problemi inviare un email in INGLESE a listmas...@lists.debian.org

To UNSUBSCRIBE, email to debian-italian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4e8ad22a.9010...@gmail.com

Re: kernel.org

2011-10-04 Per discussione Luca Costantino

Hanno rimesso su il webserver, ma tutti i link sono morti


-- 
Chiave pubblica http://luca.costantino.googlepages.com/luca.costantino.asc

Prima di tutto vennero a prendere gli zingari e fui contento, perché
rubacchiavano.
Poi vennero a prendere gli ebrei e stetti zitto, perché mi stavano antipatici.
Poi vennero a prendere gli omosessuali, e fui sollevato, perché mi
erano fastidiosi.
Poi vennero a prendere i comunisti, e io non dissi niente, perché non
ero comunista.
Un giorno vennero a prendere me, e non c’era rimasto nessuno a protestare.
(Martin Niemöller)


--
Per REVOCARE l'iscrizione alla lista, inviare un email a
debian-italian-requ...@lists.debian.org con oggetto unsubscribe. Per
problemi inviare un email in INGLESE a listmas...@lists.debian.org

To UNSUBSCRIBE, email to debian-italian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: 
http://lists.debian.org/ca+vfghzserrkohdr3cskrazrl62sz6zhuanvbhazvjnlizs...@mail.gmail.com

Re: [semi OT] Postfix error (causa router): RISOLTO

2011-10-04 Per discussione giovanni Scudeller

Il 10/04/2011 06:37 AM, dea ha scritto:
 

 
 No, il router di terminazione non è nostro, tuttavia non è stato minimamente
 toccato negli ultimi mesi.
Appunto se il problema e' un famoso bug di cisco che sbaglia a
classificare i pacchetti molto piccoli in caso di ricalcolo delle MTU se
queste non hanno correttamente impostate le MTU.
A metti che abbiamo ultima versione IOS e le interfaccie impostate
correttamente con  le giuste MTU e tuo router no Tra le altre cose
sembra che questo problema sia presente anche sui router pirelli e
alenia (??? quelli rossi che usa adesso telecom ad esempio)  percui il
problema e' il tuo router in risposta e non invio.
E siccome questo problema riguarda ( per il momento) solo linux e
solaris e forse le ultime versioni BSD. Ma non windows se non usi IPV6
perchè non fa ottimizzazioni del invio pacchetti.




 Luca
 
 


-- 
Per REVOCARE l'iscrizione alla lista, inviare un email a 
debian-italian-requ...@lists.debian.org con oggetto unsubscribe. Per
problemi inviare un email in INGLESE a listmas...@lists.debian.org

To UNSUBSCRIBE, email to debian-italian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4e8af57f.7080...@gmail.com

Re: Errore di join ad Active Directory

2011-10-04 Per discussione Giuseppe Sacco

Il giorno mar, 04/10/2011 alle 10.21 +0200, Giovanni Bellonio ha
scritto:
 Buongiorno a tutta la lista,
[...]
 root@VBWKS8:/home/dpp1058157# net ads join -U dpp1058157
 Enter dpp1058157's password:
 Failed to join domain: Failed to set account flags for machine account
 (NT_STATUS_ACCESS_DENIED)

Hai provato questo?
http://webdeveloperer.blogspot.com/#Rejoin_to_AD_as_different_user

Ciao,
G.


-- 
Per REVOCARE l'iscrizione alla lista, inviare un email a 
debian-italian-requ...@lists.debian.org con oggetto unsubscribe. Per
problemi inviare un email in INGLESE a listmas...@lists.debian.org

To UNSUBSCRIBE, email to debian-italian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/1317729678.4657.56.camel@scarafaggio

Re: Errore di join ad Active Directory

2011-10-04 Per discussione Giovanni Bellonio



Il 04/10/2011 10:56, andrea biancalana ha scritto:

2011/10/4 Giovanni Belloniogiovanni.bello...@infinito.it:

Buongiorno a tutta la lista,
root@VBWKS8:/home/dpp1058157# net ads join -U dpp1058157

io faccio il join con ad AD con:

net rpc join -Snome_del_server_windows  -UAdministrator

invece che con:

net ads join

.


questo è quello che ottengo con net rpc join:

root@VBWKS8:/home/dpp1058157# net rpc join -S 
SERVER01.MIO.DOMINIO.IT-U dpp1058157

Enter dpp1058157's password:
error setting trust account password: NT_STATUS_ACCESS_DENIED
Unable to join domain DOMINIO.


Grazie comunque


--
Per REVOCARE l'iscrizione alla lista, inviare un email a 
debian-italian-requ...@lists.debian.org con oggetto unsubscribe. Per

problemi inviare un email in INGLESE a listmas...@lists.debian.org

To UNSUBSCRIBE, email to debian-italian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4e8afddc.8020...@infinito.it

Re: Errore di join ad Active Directory

2011-10-04 Per discussione Antonio Doldo

Il 04/10/2011 14:36, Giovanni Bellonio ha scritto:

 Il 04/10/2011 10:56, andrea biancalana ha scritto:
 2011/10/4 Giovanni Belloniogiovanni.bello...@infinito.it:
 Buongiorno a tutta la lista,
 root@VBWKS8:/home/dpp1058157# net ads join -U dpp1058157
 io faccio il join con ad AD con:

 net rpc join -Snome_del_server_windows  -UAdministrator

 invece che con:

 net ads join

 .

 questo è quello che ottengo con net rpc join:

 root@VBWKS8:/home/dpp1058157# net rpc join -S
 SERVER01.MIO.DOMINIO.IT-U dpp1058157
 Enter dpp1058157's password:
 error setting trust account password: NT_STATUS_ACCESS_DENIED
 Unable to join domain DOMINIO.


 Grazie comunque


Ciao,
ma controlla che il nome host VBWKS8 sia in /etc/hosts, in
/etc/hostname e in /etc/samba/smb.conf
specificalo eventualmente con:
netbios name = VBWKS8

prova a cancellare il ticket  krb con kdestroy
e rigeneralo con il nome dell'utente con il quale vuoi firmare l'host
VBWKS8:

kinit dpp1058...@mio.dominio.it #dominio in MAIUSCOLO

mentre in /etc/krb5.conf verifica che il Kdc sia dichiarato:

kdc=SERVER01.MIO.DOMINIO.IT

se il nome è dell'host è già nella OU, procedi con:

net ads -w MIO.DOMINIO.IT -S SERVER01.MIO.DOMINIO.IT -U dpp1058157


Ciao,
Antonio


-- 
Per REVOCARE l'iscrizione alla lista, inviare un email a 
debian-italian-requ...@lists.debian.org con oggetto unsubscribe. Per
problemi inviare un email in INGLESE a listmas...@lists.debian.org

To UNSUBSCRIBE, email to debian-italian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4e8b0185.8070...@gmail.com

35 matches

Mail list logo