Apache WebDAV遇「client used wrong authentication scheme」错误及封禁问题求助

问题描述 #

在Gentoo Linux amd64系统的SSL Apache环境中，配置了WebDAV目录：

Alias /files /home/apache/files
<Directory /home/apache/files>
Dav on
Dav filesystem
AuthType Basic
Require user username
AuthName "Restricted site"
AuthUserFile /usr/local/etc/htpasswd
Options Indexes FollowSymLinks
</Directory>

当从Windows 10设备用MS Word打开该目录下的文件时，Apache日志出现以下错误：

[auth_basic:error] [pid 8486] [client xxx.xxx.xxx.xxx:xxxx] AH01614: client used wrong authentication scheme:

由于服务器安装了fail2ban，多次触发该错误后，办公设备的IP会被封禁。

问题原因 #

MS Word在通过WebDAV访问文件时，默认会优先尝试NTLM认证，而非你配置的Basic认证，导致认证失败触发Apache的AH01614错误，进而被fail2ban的规则判定为恶意请求并封禁IP。

解决办法 #

1. 服务器端：Apache添加NTLM认证支持 #

这是适配MS Word WebDAV行为的根本解决方式：

• 先在Gentoo上安装mod_authnz_ntlm模块（未安装时执行）：

  emerge apache-mod_authnz_ntlm
  

• 修改WebDAV目录配置，同时支持Basic和NTLM认证：

  Alias /files /home/apache/files
  <Directory /home/apache/files>
  Dav on
  Dav filesystem
  # 同时启用两种认证方式
  AuthType Basic
  AuthName "Restricted site"
  AuthUserFile /usr/local/etc/htpasswd
  AuthBasicProvider file
  AuthNTLMProvider file
  Require user username
  Options Indexes FollowSymLinks
  </Directory>
  

• 重启Apache生效：

  rc-service apache2 restart
  

2. 服务器端：调整fail2ban规则避免误封 #

若暂时不想改动认证配置，可修改fail2ban过滤规则忽略该错误：

• 编辑/etc/fail2ban/filter.d/apache-auth.conf文件
• 添加忽略规则：

  ignoreregex = AH01614: client used wrong authentication scheme:
  

• 重启fail2ban服务：

  rc-service fail2ban restart
  

3. 客户端：Windows 10与MS Word设置优化 #

作为辅助手段，可在客户端强制使用Basic认证：

• 打开MS Word，依次进入「文件」>「选项」>「信任中心」>「信任中心设置」>「受信任位置」，添加WebDAV站点地址并勾选「允许来自该位置的文件在受保护视图外打开」
• 打开Windows「控制面板」>「用户账户」>「凭据管理器」>「Windows凭据」，手动添加WebDAV站点的Basic认证凭据（输入站点URL、用户名和密码）

内容的提问来源于stack exchange，提问作者Robert S