Разработчикам

Не работает прозрачная авторизация NTLM

RSS

Не работает прозрачная авторизация NTLM, Перебрасывает на порт 8891, а дальше выдает обычное окно авторизации.

Пользователь 441753

Заглянувший

Сообщений: 15 Баллов: 1 Регистрация: 17.02.2016

18.01.2022 11:33:26

Коллеги, доброго дня.

Разворачиваю корпоративный портал. Подключение к AD прошло успешно, все тесты говорят - ок, импорт юзеров работает.

1. net ads testjoin - ok
2. wbinfo -t - checking the trust secret for domain DOMAIN via RPC calls succeeded
3. getent passwd - выдает как локальных так и список доменных пользователей
4. ntlm_auth --request-nt-key --domain=DOMAIN--username=user_domain - NT_STATUS_OK: The operation completed successfully. (0x0)

в исключения браузеров через групповые политики добавлен поддомен "звёздочка" - *.domen.ru ( адрес портала portal.domen.ru)
Конфиг виртуального хоста apache ведет на /home/bitrix/www_ntlm (прва bitrix:bitrix)

Подключаю NTLM аутентификацию, Для переадресации на 8891 указываю локальную подсеть с маской /16.

Захожу на портал с локального компьютера, получаю переадресацию на https://portal.domen.ru:8891 , но вместо прозрачной аутентификации или окошка basic авторизации - появляется стандартное, синее окно авторизации Битрикс24.

Подскажите куда копать, логи (httpd,smd,kerberos) молчат на предмет ошибок.

-----------------
p.s. пробую менять настройки виртуальных хостов, получаю окошко basic авторизации, ввожу логин и пароль, далее вижу ошибку 401 и снова вылезает коошко авторизации. В логах:

htpd

Цитата

ntlmssp_server_auth_send: Checking NTLMSSP password for DOMAIN\User failed: NT_STATUS_NO_LOGON_SERVERS
gensec_update_send: ntlmssp[0x562273fe5160]: subreq: 0x562273fe5cc0
gensec_update_done: ntlmssp[0x562273fe5160]: NT_STATUS_NO_LOGON_SERVERS tevent_req[0x562273fe5cc0/. ./. ./auth/ntlmssp/ntlmssp.c:181]: state[3] error[-7963671676338569122 (0x917B5ACDC000005E)] state[struct gensec_ntlmssp_update_state (0x562273fe5e70)] timer[(nil)] finish[../. ./auth/ntlmssp/ntlmssp.c:239]
GENSEC login failed: NT_STATUS_NO_LOGON_SERVERS

samba(log.wb-DOMAIN)

Цитата
[2022/01/18 12:18:16.870146, 2] ../. ./source3/winbindd/winbindd_pam.c:2412(winbind_dual_SamLogon) NTLM CRAP authentication for user []\[user_domain] returned NT_STATUS_NO_LOGON_SERVERS [2022/01/18 12:18:17.955200, 2] ../. ./source3/winbindd/winbindd_pam.c:2412(winbind_dual_SamLogon) NTLM CRAP authentication for user [DOMAIN]\[user_domain] returned NT_STATUS_NO_LOGON_SERVERS

Пользователь 9700 Эксперт Сообщений: 751 Баллов: 98 Регистрация: 28.02.2007	#2 21.01.2022 18:22:29 .Евгений Железкин, Как то решили? А то полуили идентичную проблему

Пользователь 441753

Заглянувший

Сообщений: 15 Баллов: 1 Регистрация: 17.02.2016

21.01.2022 18:35:05

1. Если у вас синее окно авторизации:
Возможно не создана папка /home/bitrix/www_ntlm, туда не залиты служебные файлы и в конфиге httpd, где указываются правила для прослушивания 8890 и 8890 директории не ссылаются на /home/bitrix/www_ntlm . Проверьте права на папку /home/bitrix/www_ntlm

2.Если у вас при первом входе вылезает окно basic авторизации, вводите логин, ничего не происходит, либо повторно вылезает окно basic авторизации, то у нас был следующий случай:

Цитата

Да. Решение оказалось на DC. 10 или 11 января Microsoft выкатили три апдейта, которые отправляли в вечную перезагрузку контроллеры домена и ещё какие-то службы крашили. Они постоянно находились в статусе "готовится к перезагрузке". 18 января выпустили фикс. Иначе говоря попробуйте обновить контроллеры домена. Должна проблема уйти. Когда их много - проблема не так очевидна. Все тесты показывают что контроллеры работают, а когда один падает, всегда есть другой, который его заменит.

Пользователь 136059

Гуру

Сообщений: 5443 Баллов: 649 Регистрация: 16.07.2012

21.01.2022 20:34:01

Цитата

Евгений Железкин написал:
Захожу на портал с локального компьютера, получаю переадресацию на https://portal.domen.ru:8891 , но вместо прозрачной аутентификации или окошка basic авторизации - появляется стандартное, синее окно авторизации Битрикс24.

Мы получали такое сообщение когда Apache не мог получить ответ от сервера авторизации.
В нашем случае ситуация была в том что на стороне AD не было включена авторизация через NTLMv2.
Т.е. по ldap можно было авторизоваться, а вот сам NTLM кидал ошибку.

Голосуй за идеи по развитию API Bitrix:
https://idea.1c-bitrix.ru/26707/
https://idea.1c-bitrix.ru/26709/
https://idea.1c-bitrix.ru/the-local-extension-folder-js/

Пользователь 41635

Заглянувший

Сообщений: 2 Регистрация: 22.04.2009

18.08.2022 00:20:14

Тоже есть проблемка с NTLM авторизацией. В моем случае она полностью работает внутри локальной сети. Однако, если опубликовать битрикс наружу через обратный прокси на шлюзе, то все равно происходит переадресация на порт 8891, несмотря на ограничение в модуле интеграции АД только локальной подсетью.

Поясню. внутренние пользователи прозрачно авторизуются под своими доменными учетками. А для внешних создано доменное имя bitrix.domain.ru, указывающее на внешний ip-адрес сети. На шлюзе все запросы домена bitrix.domain.ru перебрасываются на внутреннее имя bitrix.domain.local. В свойствах модуля АД прописана подсеть 192.168.0.0/24, для которой эта переадресация должна работать и, по идее, для внешних пользователей она не должна срабатывать.

Единственное мое предположение - возможно, что запрос от внешних пользователей на сервер битрикса приходит от ip-адреса шлюза 192.168.0.1 из-за NAT, потому и происходит переадресация, но это не точно. Если кто подскажет, в каких логах можно увидеть эти ip-адреса, буду благодарен. В /var/log/httpd/error_log не нашел.

Пользователь 1329903

Эксперт

Сообщений: 302 Баллов: 46 Регистрация: 15.08.2017

18.08.2022 07:49:22

Цитата
ГК Софт-Сервис написал: В /var/log/httpd/error_log не нашел.

Смотрите в /var/log/nginx/
Например /var/log/nginx/access.log или /var/log/nginx/default_access.log

Создайте /etc/nginx/bx/map/proxy.conf

Код

set_real_ip_from 192.168.0.1;

# Используем заголовок "X-Forwarded-For" как источник:
real_ip_header X-Forwarded-For;

# Отправляем реальный адрес посетителя приложению в заголовке X-Real-IP header:
proxy_set_header X-Real-IP $remote_addr;

При этом шлюз должен быть настроен на передачу заголовка X-Forwarded-For

Убедитесь, что в конфиге сайта в nginx есть

Код
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-Host $host; proxy_set_header X-Forwarded-Scheme $scheme;

Пользователь 3699828

Заглянувший

Сообщений: 4 Регистрация: 15.11.2019

08.08.2023 10:16:32

Так же проблема с ntlm.
На VM все тесты ок

1. net ads testjoin - ok
2. wbinfo -t - checking the trust secret for domain DOMAIN via RPC calls succeeded
3. getent passwd - выдает как локальных так и список доменных пользователей
4. ntlm_auth --request-nt-key --domain=DOMAIN--username=user_domain - NT_STATUS_OK: The operation completed successfully. (0x0)

Но при попытке зайти с переадресацией на 8891 вылетает basic авторизация (как бы внутри сайта , там где модуль социальная сеть новости выдает)

Куда копать?
VM от битрикса
Папки home/bitrix/www_ntlm нет ...
На уровне домена ntlm включен (есть еще решение от 1С и оно ок с ntlm)

Пользователь 24332 Посетитель Сообщений: 43 Баллов: 7 Регистрация: 06.05.2008 Программист 1c-Bitrix.	#8 16.05.2024 12:01:51 Всем привет REMOTE_USER пустой, Кто то может подсказать как правильно настроить конфиги что бы туда попадали данные? Или найду дорогу, или проложу её сам.

Пользователь 368151

Постоянный посетитель

Сообщений: 132 Баллов: 22 Регистрация: 07.08.2015

24.06.2024 11:59:48

Цитата

написал:
Так же проблема с ntlm.
На VM все тесты ок

1. net ads testjoin - ok
2. wbinfo -t - checking the trust secret for domain DOMAIN via RPC calls succeeded
3. getent passwd - выдает как локальных так и список доменных пользователей
4. ntlm_auth --request-nt-key --domain=DOMAIN--username=user_domain - NT_STATUS_OK: The operation completed successfully. (0x0)

Но при попытке зайти с переадресацией на 8891 вылетает basic авторизация (как бы внутри сайта , там где модуль социальная сеть новости выдает)

Куда копать?
VM от битрикса
Папки home/bitrix/www_ntlm нет ...
На уровне домена ntlm включен (есть еще решение от 1С и оно ок с ntlm)

День добрый, что за решение с 1с?

Не работает прозрачная авторизация NTLM

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером