Windows 11 LTSC客户端通过Apache2/Kerberos/GSSAPI认证失败：提示“请求了不支持的机制”

遇到这种特定版本客户端卡壳的认证问题真的闹心——毕竟Win10、Win10 LTSC、普通Win11都能正常过认证，唯独Win11 LTSC掉链子。从Apache日志里的gss_accept_sec_context() failed: [An unsupported mechanism was requested]报错来看，大概率是加密机制的兼容性差异导致的，咱们结合你给出的配置一步步排查：

当前配置的潜在问题 #

你生成keytab用了-crypto All，但krb5.conf里只配置了aes256-cts-hmac-sha1-96和rc4-hmac两种加密类型。而Win11 LTSC作为更精简、安全性更严格的版本，很可能默认禁用了rc4-hmac这类弱加密算法，同时对现代加密算法的支持要求更高，两边加密机制不匹配就触发了“不支持的机制”报错。

具体解决方案步骤 #

1. 检查Win11 LTSC的Kerberos加密策略
   打开本地组策略编辑器（gpedit.msc），导航到：
   计算机配置>Windows设置>安全设置>本地策略>安全选项
   找到网络安全：配置Kerberos允许的加密类型，确保里面启用了服务器krb5.conf中配置的加密类型（比如aes256系列），同时注意如果禁用了rc4-hmac，那服务器端也要移除对应的配置，避免依赖弱加密。

2. 更新krb5.conf的加密类型配置
   把krb5.conf里的加密类型替换为Win11 LTSC支持的现代算法，建议调整为：

   [libdefaults]
      default_realm = XXX.FR
      kdc_timesync = 1
      ccache_type = 4
      forwardable = false
      proxiable = false
      fcc-mit-ticketflags = false
   
      default_tgs_enctypes = aes256-cts-hmac-sha384-192 aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128
      default_tkt_enctypes = aes256-cts-hmac-sha384-192 aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128
      permitted_enctypes = aes256-cts-hmac-sha384-192 aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha256-128
   

   这样既保留了兼容旧版本的aes256-sha1，又加入了Win11 LTSC优先支持的SHA2系列加密算法。

3. 重新生成匹配的keytab文件
   不要再用-crypto All，而是明确指定咱们刚才配置的加密类型，确保keytab里包含客户端支持的加密条目：

   ktpass -princ HTTP/xxx.xxx.fr@XXX.FR -mapuser ssowpintranet@XXX.FR -pass StrongPassword123** -crypto AES256-SHA1 AES128-SHA256 AES256-SHA256 -kvno 8 -ptype KRB5_NT_PRINCIPAL -out c:\wpintranet.keytab
   

   生成后可以用klist -e -k wpintranet.keytab验证一下包含的加密类型是否正确。

4. 检查Apache的GSSAPI配置
   如果你的Apache配置里设置了GssapiAllowedMechs参数，确保它的值和krb5.conf里的加密类型一致，不要限制为客户端不支持的旧算法。

5. 验证时间同步
   虽然这个报错不直接指向时间问题，但Kerberos对客户端和服务器的时间差非常敏感（默认允许5分钟以内），顺手检查一下Win11 LTSC客户端和Kerberos KDC服务器的时间是否同步，避免踩坑。

总结 #

核心就是让服务器端的Kerberos加密配置和Win11 LTSC客户端的加密策略对齐，放弃弱加密，优先使用现代的SHA2系列算法，应该就能解决这个认证失败的问题了。

备注：内容来源于stack exchange，提问作者Thomas D.