samba не работает kerberos аутентификация

[opt1k]

настраиваю samba+ldap+kerberos
за основу взял статью http://debian.telenet.ru/adjustmentsoft/samba_pdc
Проблема в том что когда я отключаю сервер керберос так:

Код: Выделить всё

/etc/rc.d/kerberos stop

то виндовая машина всё равно логиниться.

Не понимаю я, почему? может если керберос недоступен винда без него работает, но почему самба пропускает без кербероса???

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[opt1k]

и вообще керберос у меня не выдаёт тикеты виндовому клиенту

[opt1k]

статья выше похожа на фейк, сейчас курю kerberos и понимаю что у автора тикеты просто не могут раздаваться виндовым клиентам, да и нах он вообще что то в /etc/krb5.conf писал мне не понятно.

[snorlov]

А kerberos нужен только в одном случае, если samba является членом AD, а она у вас PDC, зачем домену NT4 kerberos?

[opt1k]

с чего вы взяли что это NT4????? керберос таки нужен для поднятия безопасности до уровня АД.
Почитал я про кеберос, теперь мне кажется что лучшего метода аутентификации и быть не может.
Но вот как всё это настроить для меня загадка, убил 3ое суток и так и не смог заставить керберос сидеть в опенлдапе

[snorlov]

У вас самба выступает PDC'ом, причем в качестве backend'а используется LDAP, спрашивается, а что она в этом случае эмулирует, ответ домен NT4, но не AD, вся потуга статьи, по которой вы пытаетесь делать, это как-то сэмулировать AD, эмулируются разрозненные компоненты,
1. kerberos на выдачу билетов, ну и где эти билеты используются в samba PDC
2. DNS c корявыми зонами для AD

Вот поэтому и логинится виндовый клиент в домен без наличия kerberos, по большому счету и dns тоже не нужен, просто для w2k и выше легче найти PDC, который они ищут в первую очередь через DNS, но и в этом случае достаточно указать одну запись, взята из статьи
_ldap._tcp.pdc SRV 0 100 389 server.domain.local.
Нет, вы конечно можете курить бамбук и поставить samba4, а потом рассказать как она работает в боевом режиме...