Încredere în pădure: nepotrivire SPN pentru numele necalificat complet

Înființat

Toate computerele care rulează Windows Server 2019.

Domeniul A

Trusturile forestiere

• DomeniulA.local trusturi DomeniulB.local
• DomeniulB.local trusturi DomeniulA.local

Scenarii

Vă prezint mai jos două scenarii. Scenariul A funcționează conform așteptărilor. Am o întrebare despre scenariul B.

Scenariul A

[email protected] se conectează la WorkStation.DomainB.local și apoi din promptul Run încearcă să se deschidă \FileServer.

Î: Care FileServer va aparea?

• A) FileServer.DomainA.local
• b) FileServer.DomainB.local

A: (b) [evident -- folosim a Domeniul B utilizator pe a Domeniul B stație de lucru]

Scenariul B

[email protected] se conectează la WorkStation.DomainB.local și apoi din promptul de comandă Run încearcă să se deschidă \FileServer.

Î: Ce partajări ale FileServer vor apărea?

• A) FileServer.DomainA.local (pentru că suntem autentificați cu un DomeniulA nume de utilizator)
• b) FileServer.DomainB.local (pentru că suntem conectați la a Domeniul B calculator)

R: Niciuna dintre cele de mai sus. În schimb, va apărea un mesaj de eroare:

\FileServer nu este accesibil. Este posibil să nu aveți permisiunea de a utiliza această resursă de rețea. Contactați administratorul acestui server pentru a afla dacă aveți permisiuni de acces.

Numele contului țintă este incorect

Întrebare

Poate cineva să explice din punct de vedere tehnic de ce Scenariul B eșuează? Specific:

1. Cum funcționează șirul "\FileServer" se traduce într-un anumit computer?

   • Este folosit DNS? Daca nu, ce se foloseste?
   • Se rezolvă să FileServer.DomainA.local sau FileServer.DomainB.local?

2. Cum este legat SPN, în special faptul că setspn -L FileServer afișează nume necalificate complet, cum ar fi HOST/FileServer precum și înregistrări complet calificate, cum ar fi HOST/FileServer.DomainB.local

Părerea mea

1. DNS (și, probabil, bunul simț) se rezolvă FileServer la FileServer.DomainB.local
2. In orice caz, \FileServer (CIFS/double-back-slash) se rezolvă la FileServer.DomainA.local.
3. SPN (oricare ar fi acesta) se „rezolvă”. FileServer.DomainB.local
4. Nepotrivirea DomeniuluiA/DomeniulB din (2) și (3) este sursa Numele contului țintă este incorect