Event ID 20 KDC sul DC e vari altri

[Claudio73]

In riferimento a questo link (per riassumere in breve):
http://groups.google.it/group/microsoft.public.it.winserver/browse_thread/thread/252bf12af612a035/27a09be6102794cc%2327a09be6102794cc

ho lo stesso identico problema, con la differenza che ho un altro
server con sopra Isa Server che stà facendo macelli.

Spiego per passi:
1 Server 2003 DC con AD, DNS WINS DHCP
1 Server 2003 Con Isa 2004 SP2 e Vpn PPTP Attiva
tutto perfettamente funzionante fino a quando non mi viene la
bellissima idea di installare la Certification Authority sul DC.

Una volta installata e funzionante sia in autoenrollment che su
autorizzazione da parte dell'amministratore per gli accessi esterni,
succede che:
1- Event ID 20 sul DC (ho provato con il certutil deleteBad, mi ha
tolto il certificato kerberos danneggiato, ma non me ne ha creato uno
nuovo)
2- Su Isa la VPN PPTP non va più segnalando agli utenti esterni Errore
691 (password o nome utente errato)
2- Su Isa registro eventi Applicazioni il seguente errori: 1053 Userenv
2- Su Isa registro eventi Sistema i seguenti: 4 Kerberos
(KDC_ERR_MODIFIED), 5719 NetLogon (RPC Non disponibile)

Sarà che ho fatto una marea di prove e non sò più dove sbattere la
testa.

L'unica cosa che mi rimane di fare è di buttare Isa fuori dominio e
reinserirlo.

Attendo lumi, grazie anticipatamente

[Edoardo Benussi [MVP]]

Post by Claudio73
http://groups.google.it/group/microsoft.public.it.winserver/browse_thread/thread/252bf12af612a035/27a09be6102794cc%2327a09be6102794cc
ho lo stesso identico problema, con la differenza che ho un altro
server con sopra Isa Server che stà facendo macelli.
1 Server 2003 DC con AD, DNS WINS DHCP
1 Server 2003 Con Isa 2004 SP2 e Vpn PPTP Attiva
tutto perfettamente funzionante fino a quando non mi viene la
bellissima idea di installare la Certification Authority sul DC.
Una volta installata e funzionante sia in autoenrollment che su
autorizzazione da parte dell'amministratore per gli accessi esterni,
1- Event ID 20 sul DC (ho provato con il certutil deleteBad, mi ha
tolto il certificato kerberos danneggiato, ma non me ne ha creato uno
nuovo)
2- Su Isa la VPN PPTP non va più segnalando agli utenti esterni Errore
691 (password o nome utente errato)
2- Su Isa registro eventi Applicazioni il seguente errori: 1053 Userenv
2- Su Isa registro eventi Sistema i seguenti: 4 Kerberos
(KDC_ERR_MODIFIED), 5719 NetLogon (RPC Non disponibile)
Sarà che ho fatto una marea di prove e non sò più dove sbattere la
testa.
L'unica cosa che mi rimane di fare è di buttare Isa fuori dominio e
reinserirlo.

aspetta.
un passo alla volta.
perchè hai installato la CA ?
perchè fai pubblicare alla tua CA
gli autoenrolled certificates ?
l'autenticazione della vpn su isa
da chi è fatta ?

[Claudio73]

Ho installato la CA per poter fare una vpn più sicura, gli
autoenrolled certificates perchè (sinceramente) ho seguito la
procedura guidata, poi ho visto che non mi servivano.
Su isa, per l'autenticazione degli utenti, ho creato un gruppo utenti
su AD e ho dato a loro il permesso per entrare.

[Edoardo Benussi [MVP]]

Post by Claudio73
Ho installato la CA per poter fare una vpn più sicura, gli
autoenrolled certificates perchè (sinceramente) ho seguito la
procedura guidata, poi ho visto che non mi servivano.
Su isa, per l'autenticazione degli utenti, ho creato un gruppo utenti
su AD e ho dato a loro il permesso per entrare.

ok, grazie per le spiegazioni.
l'accesso alla vpn viene autenticato
da IAS con il certificato digitale ?

[Claudio73]

Allora, dopo aver installato la CA non si entra proprio più in VPN,
nemmeno PPTP senza certificato,oltre a tutti gli altri errori che sono
usciti nel registro.

Inoltre, sarà anche la stanchezza della situazione, ma da un client
esterno XP, come far capire alla connessione che deve usare un
certificato?

[Claudio73]

Edoardo, perdonami se ti rompo... sicuramente sarai superimpegnato...
ma puoi dirmi almeno se gli errori del registro eventi si possono
risolvere reinserendo Isa nel dominio? E' un'operazione utile o no?
Grazie
Claudio

[Edoardo Benussi [MVP]]

Post by Claudio73
Edoardo, perdonami se ti rompo... sicuramente sarai superimpegnato...
ma puoi dirmi almeno se gli errori del registro eventi si possono
risolvere reinserendo Isa nel dominio? E' un'operazione utile o no?

riporta gli errori che hanno
come origine "kerberos".

[Claudio73]

Sul DC:
Tipo evento: Avviso
Origine evento: KDC
Categoria evento: Nessuno
ID evento: 20
Data: 11/05/2006
Ora: 7.27.45
Utente: N/D
Computer: SRVMAINDC01
Descrizione:
Il certificato del controller di dominio Kerberos (KDC) selezionato non
è più valido e non è possibile individuare un certificato
sostitutivo adatto. Se il problema non viene risolto, è possibile che
l'accesso con smart card non funzioni correttamente. Richiedere
all'amministratore di sistema di verificare lo stato
dell'infrastruttura a chiave pubblica del dominio. Lo stato della
catena è disponibile nei dati dell'errore.


Su ISA:
Event Type: Error
Event Source: Kerberos
Event Category: None
Event ID: 4
Date: 11/05/2006
Time: 15.31.21
User: N/A
Computer: SRVPROXY
Description:
The kerberos client received a KRB_AP_ERR_MODIFIED error from the
server host/srvproxy.crismaitalia.it. The target name used was
cifs/srvmaindc01.dominio.it. This indicates that the password used to
encrypt the kerberos service ticket is different than that on the
target server. Commonly, this is due to identically named machine
accounts in the target realm (DOMINIO.IT), and the client realm.
Please contact your system administrator.


Sempre su ISA:
Event Type: Error
Event Source: Userenv
Event Category: None
Event ID: 1053
Date: 11/05/2006
Time: 15.50.06
User: NT AUTHORITY\SYSTEM
Computer: SRVPROXY
Description:
Windows cannot determine the user or computer name. (There are no more
endpoints available from the endpoint mapper. ). Group Policy
processing aborted.

Grazie mille

[Edoardo Benussi [MVP]]

Claudio73 <***@mclink.net> wrote in message,
***@v46g2000cwv.googlegroups.com
[cut all]

certsvc sul dc è in esecuzione ?

[Claudio73]

Dove devo guardare? Nei servizi avviati ho trovato solo certsvr avviato

[Edoardo Benussi [MVP]]

Post by Claudio73
Dove devo guardare? Nei servizi avviati ho trovato solo certsvr avviato

fermati.
ragioniamo.
cominciamo dal dc e teniamo
un'attimo da parte isa.

dunque sul dc hai installato la CA
ed ora hai quell'avviso kdc 20
e nient'altro ?

il dc è stato riavviato ?

[Claudio73]

Infatti, io ho perso la testa perchè sicuramente sono più problemi
scoppiati insieme.

Ok, ragioniamo sul DC, il problema KDC 20 è uscito fuori nonappena
installata la CA.

I certificati funzionano, il sito è raggiungibile anche dall'esterno e
possono essere richiesti certificati senza problemi.
Il DC è stato riavviato. Non ci sono altre problematiche sul DC.

[Edoardo Benussi [MVP]]

Post by Claudio73
Ok, ragioniamo sul DC, il problema KDC 20 è uscito fuori nonappena
installata la CA.
I certificati funzionano, il sito è raggiungibile anche dall'esterno e
possono essere richiesti certificati senza problemi.
Il DC è stato riavviato. Non ci sono altre problematiche sul DC.

perfetto.
ora immagino che tu abbia anche altri clients
che si autenticano su quel dc oltre alla macchina con isa, giusto ?

qualcuno degli altri client presenta qualche errore
o avviso relativo a kerberos ?

[Claudio73]

A parte Isa solamente un altro client presenta l'errore 4 Kerberos sul
Registro di Sistema (la stessa macchina presenta la croce rossa
sull'event ID 1053 Userenv). Tutti gli altri client non presentano il
problema.

[Edoardo Benussi [MVP]]

Post by Claudio73
A parte Isa solamente un altro client presenta l'errore 4 Kerberos sul
Registro di Sistema (la stessa macchina presenta la croce rossa
sull'event ID 1053 Userenv). Tutti gli altri client non presentano il
problema.

ok.
facciamo una prova.
dissocia e riassocia questo client al dominio.
controlla se dopo ha ancora l'errore.
poi riscrivi.

[Claudio73]

Ho fatto come hai detto e nessun problema si riscontra.

Però ho notato che l'errore 4 Kerberos su questo client proveniva non
dal DC ma da ISA, ed infatti è scomparso già da ieri, quando ho
dissociato Isa dal dominio.

Sul registro eventi del DC le operazioni di dissociare e riassociare il
client al dominio sono avvenute correttamente.

[Edoardo Benussi [MVP]]

Post by Claudio73
Ho fatto come hai detto e nessun problema si riscontra.
Però ho notato che l'errore 4 Kerberos su questo client proveniva non
dal DC ma da ISA, ed infatti è scomparso già da ieri, quando ho
dissociato Isa dal dominio.
Sul registro eventi del DC le operazioni di dissociare e riassociare
il client al dominio sono avvenute correttamente.

ok.
adesso segui l'altro mio post
per quanto riguarda il dc,
poi vediamo di occuparci di isa
(che in questo momento è dissociato, giusto ? )

[Edoardo Benussi [MVP]]

Post by Claudio73
A parte Isa solamente un altro client presenta l'errore 4 Kerberos sul
Registro di Sistema (la stessa macchina presenta la croce rossa
sull'event ID 1053 Userenv). Tutti gli altri client non presentano il
problema.

nel frattempo sul dc controlla questo:

From a newsgroup post: "On the problem DC, open the certificates snap-in, go
to Certificates (Local Computer) -> Personal -> Certificates store, and
verify that the DC has a valid certificate whose Intended Purpose indicates
Client Authentication, Server Authentication. Also, verify that the
Certification Chain validates to the root certificate. On the Details tab of
the certificate check to see if the Smart Card Logon Object Identifier
(1.3.6.1.4.1.311.20.2.2) is listed in the Enhanced Key Usage field. If any
of the above is not correct, you will need to correct it".

[Claudio73]

"Also, verify that the
Certification Chain validates to the root certificate. On the Details
tab of
the certificate check to see if the Smart Card Logon Object Identifier
(1.3.6.1.4.1.311.20.2.2) is listed in the Enhanced Key Usage field. If
any
of the above is not correct, you will need to correct it".

Non ho trovato il Tab Dettagli da nessuna parte... forse sbaglio dove
cercare?

[Claudio73]

Avevo già risposto... si stanno sovrapponendo le cose...

[Edoardo Benussi [MVP]]

Post by Claudio73
"Also, verify that the
Certification Chain validates to the root certificate. On the Details tab of
the certificate check to see if the Smart Card Logon Object Identifier
(1.3.6.1.4.1.311.20.2.2) is listed in the Enhanced Key Usage field. If any
of the above is not correct, you will need to correct it".
Non ho trovato il Tab Dettagli da nessuna parte... forse sbaglio dove
cercare?

hai aperto la mmc certificates sul dc ?

[Claudio73]

Fino a lì ci arrivo ;)))
Ho aperto l'mmc e ho aggiunto lo snap-in dei certificati. Poi?

[Edoardo Benussi [MVP]]

Post by Claudio73
Fino a lì ci arrivo ;)))
Ho aperto l'mmc e ho aggiunto lo snap-in dei certificati. Poi?

lo snap-in dei certificati dev'essere
quello di local computer.

sull'albero a destra:
certificates>personal>certificates,
nella finestra di destra scegli il o i certificati
di tipo client authentication, server authentication,
domain controller
e su ciascuno di questi certificati fai doppio clic per aprirlo,
quando è aperto vai sulla tab details.

[Claudio73]

Miii che DUMMIES che sono... l'ho trovato (invece del doppio click,
facevo tasto destro-->proprietà).

Ok, non c'è nessun Smart Card Logon Object Identifier.

P.S. Stò usando Win2003 Ita,ma cmq non c'è nulla che faccia
riferimento a Smart Card

[Edoardo Benussi [MVP]]

Post by Claudio73
Ok, non c'è nessun Smart Card Logon Object Identifier.

bene, non è un problema.

le altre due condizioni sono soddisfatte ?

1) verify that the DC has a valid certificate whose Intended Purpose
indicates Client Authentication, Server Authentication

2) verify that the Certification Chain validates to the root certificate

se queste due sono soddisfatte
passiamo a verificare che :
From a newsgroup post: "I have made a call to Microsoft on this issue. They
first suggested setting the RPC Locator service to "Automatic" and then
starting it. They also suggested to restart the NetLogon service after this
change was made. Seems that upgrading to W2K3 changes the RPC Locator
service startup for some reason".

[Claudio73]

Post by Edoardo Benussi [MVP]
From a newsgroup post: "I have made a call to Microsoft on this issue. They

first suggested setting the RPC Locator service to "Automatic" and then

starting it. They also suggested to restart the NetLogon service after
this
change was made. Seems that upgrading to W2K3 changes the RPC Locator
service startup for some reason".

Questa cosa l'avevo già fatta, ora RPC Locator è attivo in automatico
su entrambi i server (DC e Isa)

[Claudio73]

Dimenticavo: Nonostante questo, se lancio Routing e Accesso Remoto dal
DC, fa la connessione ad Isa (dove c'è il RRAS) e dice Server RPC non
Disponibile (fino all'altro giorno funzionava regolarmente)

[Edoardo Benussi [MVP]]

Post by Claudio73
Dimenticavo: Nonostante questo, se lancio Routing e Accesso Remoto dal
DC, fa la connessione ad Isa (dove c'è il RRAS) e dice Server RPC non
Disponibile (fino all'altro giorno funzionava regolarmente)

quando hai installato la CA sul dc
hai per caso smanettato col certificato root
oppure l'hai disinstallata e reinstallata ?

[Claudio73]

L'ho disinstallata e reinstallata una volta

[Edoardo Benussi [MVP]]

Post by Claudio73
L'ho disinstallata e reinstallata una volta

eccola la causa del casino!
è rimasto il certificato root vecchio
sulla macchina.

soluzione:
If an Active Directory CA was removed, Domain Controllers will display this
error until they get a new certificate from a different CA. Run
"certutil -dcinfo deleteBad" to remove the offending certificates. The DCs
should then get new ones the next time Autoenrollment runs.

[Claudio73]

Ma io l'avevo eseguito quel comando... proprio perchè c'era il
problema kerberos... allora cosa faccio, visto che ci sono 2
certificati? Cancello manualmente quello che non mi serve? Poi devo
re-startare la macchina o basta re-startare il servizio?

Grazie

[Edoardo Benussi [MVP]]

Post by Claudio73
Ma io l'avevo eseguito quel comando... proprio perchè c'era il
problema kerberos... allora cosa faccio, visto che ci sono 2
certificati? Cancello manualmente quello che non mi serve? Poi devo
re-startare la macchina o basta re-startare il servizio?

cancella il certificato vecchio
e riavvia la macchina.

[Claudio73]

Ok, pare che sia tutto ok. Anche la VPN ha ripreso a funzionare. Ora
devo solo capire come inserire il certificato all'interno di una
connessione VPN creata da Windows XP

[Claudio73]

Ops, mi ero dimenticato, grazie del supporto!
Claudio

[Edoardo Benussi [MVP]]

Post by Claudio73
Ok, pare che sia tutto ok. Anche la VPN ha ripreso a funzionare.

benissimo.

Post by Claudio73
Ora devo solo capire come inserire il certificato all'interno di una
connessione VPN creata da Windows XP

spiega meglio, non capisco.

[Claudio73]

Io da un client esterno eseguo la richiesta certificato sulla CA.
Una volta preso il certificato, viene automaticamente installato su IE
(correggimi se sbaglio).
Se io da quel client, voglio creare una connessione VPN non col PPTP ma
con L2TP, devo utilizzare quel certificato o no?

[Edoardo Benussi [MVP]]

Post by Claudio73
Io da un client esterno eseguo la richiesta certificato sulla CA.
Una volta preso il certificato, viene automaticamente installato su IE
(correggimi se sbaglio).
Se io da quel client, voglio creare una connessione VPN non col PPTP
ma con L2TP, devo utilizzare quel certificato o no?

certamente si.

[Claudio73]

Eh, ma quello che non ho capito è: bisogna dire alla connessione Vpn
di utilizzare quel certificato? Se sì, dove va inserita?

Poi magari diamo un'occhiata anche ad Isa, visto che non riconosce più
i gruppi utenti del dominio (server RPC non disponibile)

[Edoardo Benussi [MVP]]

Post by Claudio73
Eh, ma quello che non ho capito è: bisogna dire alla connessione Vpn
di utilizzare quel certificato? Se sì, dove va inserita?
Poi magari diamo un'occhiata anche ad Isa, visto che non riconosce più
i gruppi utenti del dominio (server RPC non disponibile)

proprietà della connessione vpn,
scheda security,
in security options metti il pallino
su "advanced (custom settings)",
clicca su "settings",
in "logon security"
metti "use EAP"
e dal menu a tendina scegli
"smart card or other certificate".
ciao.

[Claudio73]

Mi dà errore 798: Impossibile trovare un certificato utilizzabile con
il protocollo EAP

[Edoardo Benussi [MVP]]

Post by Claudio73
Mi dà errore 798: Impossibile trovare un certificato utilizzabile con
il protocollo EAP

che tipo di certificato hai richiesto alla CA ?

[Claudio73]

Certificato IPSec

[Edoardo Benussi [MVP]]

Post by Claudio73
Certificato IPSec

ma tu vuoi solo criptare con ipsec
la connessione l2tp e non autenticarti col certificato, giusto ?

[Claudio73]

Esatto, ma credevo che il certificato servisse comunque
all'autenticazione.

[Edoardo Benussi [MVP]]

Post by Claudio73
Esatto, ma credevo che il certificato servisse comunque
all'autenticazione.

no, in tal caso serve solo
alla crittazione (per l'autenticazione
deovresti configurare ias),
quindi toglilo da dove te l'ho fatto mettere
e prova a connetterti.

[Claudio73]

No, la connessione senza certificato funziona senza problemi.

[Edoardo Benussi [MVP]]

Post by Claudio73
No, la connessione senza certificato funziona senza problemi.

in l2tp + ipsec ?

[Claudio73]

No, ovviamente in PPTP, ed è quello che voglio evitare

[Claudio73]

Ho creato un nuovo post su microsoft.public.it.isaserver. Spostiamoci
lì, che ho spiegato meglio la situazione.
Grazie e ciao

[Edoardo Benussi [MVP]]

Post by Claudio73
No, ovviamente in PPTP, ed è quello che voglio evitare

e se forzi l2tp quale errore ottieni ?

[Claudio73]

Aspetta, dividiamo i due post.
Per la VPN spostiamoci su Isa, dove ho riepilogato in breve.

Qui rimaniamo perchè sul server dove c'è ISA è comunque rimasto
l'errore 4 Kerberos nel registro Sistema
ed è rimasto anche l'event ID 1053 Userenv con la sua bella croce
rossa nel registro Applicazioni