Score:0

เซิร์ฟเวอร์ Linux ไม่สามารถใช้งาน PowerShell จากระยะไกลผ่าน WinRM โดยใช้ NTLM บนเซิร์ฟเวอร์ Windows ระยะไกล

ธง sm

โดยพื้นฐานแล้วเรามีทีมที่มีเซิร์ฟเวอร์ Linux ที่ใช้ PowerShell Core (ผสมระหว่าง 6 และ 7) ที่ต้องดำเนินการคำสั่ง Windows PowerShell จากระยะไกลบนเซิร์ฟเวอร์ Windows ปัญหาคือทีมไม่เคยให้ Kerberos ทำงานสำหรับการพิสูจน์ตัวตนและอาศัย gssapi เพื่อให้ NTLM auth ทำงาน ซึ่ง MS ไม่รองรับ AFAIK สำหรับสถานการณ์นี้

สิ่งที่เกิดขึ้นในขณะนี้คือเซิร์ฟเวอร์ Linux เหล่านี้ได้รับข้อผิดพลาด MI_RESULT_FAILED หลังจากผ่านไประยะหนึ่ง (สิ่งนี้เพิ่งเริ่มเมื่อสัปดาห์ที่แล้ว สิ่งต่างๆ ทำงานได้ดีก่อนหน้านี้) และจำเป็นต้องรีสตาร์ทบริการ WinRM บนโหนดระยะไกลเพื่อให้การทำงานระยะไกล ใช้งานได้ประมาณหนึ่งวันก่อนที่ WinRM จะต้องตีกลับอีกครั้ง

ตอนนี้ เนื่องจาก NTLM ไม่ใช่กลไกการรับรองความถูกต้องที่สนับสนุนโดย PowerShell Core บน Linux (ใช้งานได้เฉพาะเนื่องจาก gssntlmssp ซึ่งดูแลโดย RedHat ไม่ใช่ Microsoft) เส้นทางที่ชัดเจนข้างหน้านี้คือการใช้ OpenSSH สำหรับ PS Remoting จาก Linux แทน หรือเปลี่ยนไปใช้การพิสูจน์ตัวตน Kerberos แทน NTLM อย่างไรก็ตาม เนื่องจากสิ่งต่าง ๆ ทำงานได้ก่อนสัปดาห์ที่แล้ว ฝ่ายบริหารจึงไม่ต้องการการรับรองความถูกต้องหรือการเปลี่ยนแปลงโปรโตคอลเพื่อแก้ไขปัญหานี้ พวกเขาต้องการให้สิ่งที่ทำงานได้รับการแก้ไข ณ จุดนี้ ฉันกำลังหมุนวงล้อเพื่อพยายามหาสาเหตุว่าทำไม NTLM auth จึงล่ม และการแก้ไขที่แนะนำของฉันก็ไม่อยู่ในตารางในตอนนี้

โหนดต้นทางกำลังเรียกใช้ RHEL8 หรือ AL2 โหนดระยะไกลคือ Windows 2016-2019 โดยมีรุ่นเก่า 2012 บางส่วนผสมกัน Windows เป็น Windows PS Remoting ทำ ไม่ พักที่นี่เฉพาะ Linux ถึง Windows

มีใครเคยโดนสถานการณ์แบบนี้มาก่อนหรืออะไรทำนองนี้ไหม? มีความคิดเห็นเกี่ยวกับสิ่งที่เราอาจพยายามแก้ไขปัญหานี้หรือไม่

แก้ไข: ฉันได้แก้ไขข้อผิดพลาดด้านบนเป็น MI_RESULT_FAILED. ปฏิเสธการเข้าใช้ เป็นสิ่งที่ทีมที่รายงานปัญหากล่าว แต่ในการทำซ้ำปัญหาที่เราเห็น MI_RESULT_FAILED. การติดตาม WinRM แสดงว่าการรับรองความถูกต้อง NTLM สำเร็จ แต่ก็ยังล้มเหลวแม้ว่าจะแสดง "Hello World" ผ่าน เรียกใช้คำสั่ง.

cn flag
อะไรอยู่ในบันทึกเหตุการณ์ Windows Remote Management/Operational ที่มักจะมีรายละเอียดสำหรับความล้มเหลว
Bender the Greatest avatar
sm flag
ฉันแก้ไขข้อผิดพลาดด้านบนแล้ว แต่เมื่อเกิดปัญหา รายการบันทึกเดียวที่ฉันได้รับใน `Windows Remote Management/Operational` คือ "การสร้างเชลล์ WSMan บนเซิร์ฟเวอร์ด้วย ResourceUri: %1"
duct_tape_coder avatar
cn flag
เพื่อตรวจสอบว่าคุณหมายถึง NTLM หรือ NTLMv2 จริง ๆ หรือไม่ โดยทั่วไปแล้ว NTLMv1 จะถูกปิดใช้งานด้วยเหตุผลด้านความปลอดภัย
Bender the Greatest avatar
sm flag
ขออภัย พวกเขากำลังใช้ NTLMv2 เราได้ปิดการใช้งาน NTLMv1
Monticola Explorator avatar
sa flag
คุณสามารถคิดสิ่งนี้ได้ที่ไหน ฉันประสบปัญหาเดียวกันและ [แก้ไขชั่วคราวโดยตั้งค่า WinRM CbtHardeningLevel เป็นไม่มีบนเซิร์ฟเวอร์](https://github.com/jborean93/omi/issues/29)
Bender the Greatest avatar
sm flag
ไม่. เริ่มทำงานของมันเองอย่างน่าอัศจรรย์ ตั้งแต่นั้นเป็นต้นมา เราได้เริ่มเปิดตัว SSH บน Windows เนื่องจากนี่เป็นคำแนะนำของ MS และทำให้เราหลีกเลี่ยงการตั้งค่าที่ไม่ได้รับการสนับสนุน

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา