NTLMv1 身份验证故障转移 LDAP (SASL/GSS-SPNEGO)答案

【问题标题】：NTLMv1 authentication fails over LDAP (SASL/GSS-SPNEGO)NTLMv1 身份验证故障转移 LDAP (SASL/GSS-SPNEGO)
【发布时间】：2015-11-19 13:31:15
【问题描述】：

我的部署归结为以下内容 -

客户 |网络服务器 | | Win2k3服务器|

卷曲加载器 [WS] [AD]

Curl 加载程序 (IE 8.0) 上的用户尝试访问 WS 上的页面，并且仅在用户通过 LDAP 向 AD 进行身份验证后才被授予访问权限。此处遵循的消息序列与 [MS-NTHT] 中的第 4.1 节非常相似- http://msdn.microsoft.com/en-us/library/cc237488%28v=prot.10%29.aspx

当 2 个并发 SASL 绑定请求到达 AD 服务器时，LDAP 服务器最终拒绝一个声明无效凭据的请求。另一个请求验证成功。

两个客户端请求具有相同的凭据，但尽管用户名/密码正确（多次验证），但 AD 始终返回“invalidCredentials”。

以下是我从 AD 收到的 BIND 响应。 [AD] => [WS] ::绑定响应（invalidCredentials）； 8009030C：LdapErr：DSID-0C09043E，注释：AcceptSecurityContext 错误，数据 0，vece

关于如何调试此问题的任何指示？

【问题讨论】：

标签： active-directory ldap ntlm

【解决方案1】：

我认为我能够从根本上解决问题。问题是 LDAP 服务器在 Type-2 消息中发出的挑战与在 Type-3 消息中发送的挑战不匹配。因此，服务器无法识别消息凭据。

调试步骤。完整呼叫流程的数据包捕获分析。

谢谢！

【讨论】：