Probleme SAMBA <-> W2k3 Domain-Trust

[WolverineJR]

Hallo Leute!

Ich hoffe endlich hier eine Antwort auf dieses verd... Problem zu finden, was mich noch in den Wahnsinn treibt.

Zuerst mal die Umgebung:

Wir haben zwei Samba-Server mit der Version 3.0.21c auf Solaris 9 im Einsatz. Davon ist einer immer aktiv, der andere als Cold-Standbye, falls der produktive Server Probleme hat.
Zudem haben wir mehrere ActiveDirectory-Domäne mit Windows 2003 und ServicePack 1. Diese Domänen sind so organisiert, dass eine sog. "Master-Domäne" und mehrere Unterdomänen existieren. In einer Unterdomäne sind die beiden Samba-Server eingegliedert worden (mit "net ads join" usw.).

Nun zu dem Problem:
Innerhalb der eigenen Unterdomäne der Samba-Server funktioniert alles wunderbar ohne Probleme. Nun haben wir eine Anforderung erhalten, dass Windows-Clients aus einer anderen Unterdomäne auf die Freigaben des Samba-Servers zugreifen muss.
Normalerweise kein Problem. Haben zwischen den beiden Unterdomänen einen Trust erzeugt.
Bei den beiden Solaris-Samba-Servern haben wir zudem in die /etc/resolv.conf in die Zeile "search" noch den FQDN-Namen der anderen Unterdomäne eingefügt (lautet also nun folgendermaßen: "search unterdomaene1.de unterdomaene2.de"). Zudem haben wir noch die krb5.conf ergänzt. Und zwar in dem Bereich "realms" mit dem Eintrag für die Unterdomäne (also FQDN mit entsprechendem KDC und amin_server - Eintrag).

Jetzt das absolut geniale. Auf einem Solaris-Server funktioniert das alles wunderbar (also eine Abfrage "wbinfo -u --domain=UNTERDOMAENE2" gibt alle User aus).
Auf dem anderen Solaris-Server bekomme ich nur "Error looking up domain users".

Beide Solaris-Server sind gleich installiert. Kerberos, Samba, winbind usw. haben alle die gleichen Versionen und wurden alle mit den gleichen Parametern kompiliert.

Ich weiß echt nicht mehr weiter!!

 

[phrenicus]

Hallo,

ich kann mir bei diesem Problem eigentlich nur vorstellen, dass die beiden Server eben nicht identisch aufgesetzt sind. Welche Kerberos-Variante verwendet Ihr denn? Gibt es ein Kommando klist, mit dem Du schauen kannst, welche Kerberos-Tickets Du bekommen hast?
Ansonsten ist ein möglicher Fallstrick DNS.
Ich würde sehr genau vergleichen, ob wirklich alles identisch ist (Tippfehler in /etc/krb5.conf wie in Deinem Posting: amin_server statt admin_server etc.).
Und in diesem Fall lohnt es sich vielleicht auch, das Ereignisprotokoll auf dem Domänencontroller zu lesen. Fehlgeschlagene Anmeldeversuche müsste er protokollieren und einen Grund dafür angeben.

Gruß

 

[WolverineJR]

Kommando zurück! Es geht nun alles. Hab unserem Netzwerkadmin nochmal auf die Finger gehauen, nachdem ich mittels Ethereal bemerkt habe, dass ich keinerlei Verbindung bekommen habe.
Ist mir im übrigen aufgefallen, nachdem ich den Log-Level auf 10 gedreht habe und mir der folgende Eintrag aufgefallen ist:

"... set_tc_type_and_flags: Could not open a connection to UNTERDOMAENE2..."

Trotzdem Danke!!