Debian Bookworm上Kerberos服务器本地SSH GSSAPI认证失败（NO PREAUTH错误）求助

看起来你遇到了一个挺典型的Kerberos本地认证矛盾问题——其他主机都能正常走GSSAPI SSH认证，唯独连KDC本身不行，还报了NO PREAUTH错误，我来帮你梳理下可能的原因和排查方向：

先确认你的环境信息 #

• 系统版本：Debian Bookworm
• 已部署的Kerberos相关包版本：

  krb5-kdc/stable-security,now 1.20.1-2+deb12u2
  krb5-kdc-ldap/stable-security,now 1.20.1-2+deb12u2
  krb5-pkinit/stable-security,now 1.20.1-2+deb12u2
  krb5-user/stable-security,now 1.20.1-2+deb12u2
  

• 核心问题现象：
  • 跨主机SSH+GSSAPI/Kerberos认证完全正常
  • 从192.168.10.7登录Kerberos服务器ns01时，客户端报错：

    debug1: Next authentication method: gssapi-with-mic
    debug1: Unspecified GSS failure.  Minor code may provide more information
    KDC returned error string: NO PREAUTH
    

  • KDC服务器侧日志片段：

    Aug 09 09:08:51 ns01.example.com krb5kdc4557: TGS_REQ (8 etypes {aes256-cts-hmac-sha1-96(18), aes128-cts-hmac-sha1-96(17), aes256-cts-hmac-sha384-...

可能的原因和排查步骤 #

1. Kerberos主机主体的预认证设置异常

NO PREAUTH本质是KDC收到的认证请求没有携带预认证信息，但KDC要求必须提供。你需要先确认KDC自身的host主体是否开启了预认证：

• 登录KDC服务器，执行kadmin.local进入Kerberos管理界面：

  kadmin.local
  

• 查询主机主体的详细配置：

  getprinc host/ns01.example.com@EXAMPLE.COM
  

• 看输出里的requires_preauth字段，如果是yes，可以临时关闭预认证做测试（测试完记得改回来，预认证是安全机制）：

  modprinc -requires_preauth no host/ns01.example.com@EXAMPLE.COM
  

  之后再尝试从客户端SSH登录，如果能成功，说明预认证环节存在类型不匹配或者客户端发送异常的问题。

2. SSH服务端的GSSAPI配置遗漏

检查KDC服务器上的/etc/ssh/sshd_config，确保GSSAPI相关配置正确开启：

GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
# 注意不要有针对本地连接禁用GSSAPI的配置

修改后重启sshd服务：

systemctl restart sshd

3. 主机名解析不匹配

Kerberos是基于主机名的认证体系，如果客户端解析ns01时得到的主机名和KDC上的host主体不匹配，就会请求错误的主体导致失败：

• 检查客户端的/etc/hosts或DNS配置，确保ns01指向的主机名是ns01.example.com（和Kerberos主体一致）
• 尝试在客户端用完整域名登录：ssh ns01.example.com，看是否能正常认证

4. 预认证类型不兼容

如果KDC和客户端支持的预认证类型不匹配，也会导致预认证信息无法被识别：

• 编辑KDC服务器的/etc/krb5kdc/kdc.conf，确保preauth_types包含常用的预认证类型：

  [kdcdefaults]
  preauth_types = encrypted_timestamp, pkinit
  

• 重启krb5kdc服务：

  systemctl restart krb5kdc
  

5. 客户端Kerberos配置异常

检查客户端的/etc/krb5.conf，确保默认域、KDC地址等配置正确，比如：

[realms]
EXAMPLE.COM = {
    kdc = ns01.example.com
    admin_server = ns01.example.com
}
[domain_realm]
.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM

快速测试方法 #

在客户端先手动获取TGT，再尝试登录：

kinit your_username@EXAMPLE.COM
ssh ns01.example.com

如果还是失败，可以用tcpdump port 88抓包查看Kerberos请求的细节，确认客户端发送的主体和预认证信息是否正确。

备注：内容来源于stack exchange，提问作者Webtux