NoSpamProxy fragt nach Kerberos-Tickets

[MikelF]

Hallo,

wir setzen aktuell testweise ein Tool namens ADAudit Plus ein. Das dokumentiert, unter anderem, Anmeldeversuche von Usern und da fällt unser NoSpamProxy ein wenig aus den Rahmen. Der Server fragt wohl ca. alle 20 - 30 Sek, mit dem User host einen der 2 Domaincontroller an und produziert damit eine Fehlermeldung:

 A Kerberos authentication ticket (TGT) was requested for host from NoSpam.****. Status: Failure Error: Bad user name

Da der "User" host nicht existiert, ist es klar ja warum das nicht klappt, aber warum und was versucht der Server es denn überhaupt? Hat jemand hier eine Erklärung dafür?

Danke im Vorraus.

Mikel

 

[869288141]

Hallo Mikel,
läuft auf dem Server nur die Intranet-Rolle oder auch Gateway und sogar noch Webportal?
laufen die NoSpamProxy Dienste mit den dafür vorgesehen Standardbenutzern oder gab es hierbei eurerseits Anpassungen?
Lässt sich evtl. an Hand des Nutzernamens (den du nicht genannt hast) eine Funktion ableiten? Ich denke da gerade an den AD Sync.


Gruß,
Daniel

 

[MikelF]

Hallo Mikel,
läuft auf dem Server nur die Intranet-Rolle oder auch Gateway und sogar noch Webportal?
laufen die NoSpamProxy Dienste mit den dafür vorgesehen Standardbenutzern oder gab es hierbei eurerseits Anpassungen?
Lässt sich evtl. an Hand des Nutzernamens (den du nicht genannt hast) eine Funktion ableiten? Ich denke da gerade an den AD Sync.


Gruß,
Daniel

Hallo Daniel,
nein auf dem Server läuft nur [font=Tahoma, Verdana, Arial, sans-serif]die Intranet-Rolle und Gateway, das Webportal hat einen eigenen Server. Der Benutzername ist HOST (hatte ich geschrieben). Scheint aber ein Microsoft Bug zu sein und kein NoSpam-Problem. 
Die Beschreibungen zu dem Thema sind zwar schon ein Jahr alt aber man kann das Ganze wohl ignorieren.[/font]

[font=Tahoma, Verdana, Arial, sans-serif]Aber Danke für die versuchte Unterstützung.[/font]

[font=Tahoma, Verdana, Arial, sans-serif]Mikel[/font]

 

[JanJäschke]

Hallo Mikel,

das Thema kommt mir bekannt vor und ich schaue mal ob ich noch Notitzen zu einem änlichen Fall finde.
Prinzipiell kannst du es von unserer Seite aus ignorieren solange wir keinen Fehler im Eventlog erzeugen der darauf schließen lässt, dass wir auf irgendetwas nicht mehr zugreifen können.


Gruß
Jan

 

[JanJäschke]

Hallo Mikel,

ich habe hier nochmal gesucht und mit dem SUpport Team gesprochen - das was ich im Hinterkopf hatte hat sich von allene gelöst das es sich um einen Windows Bug gehandelt hat :S

Wir konnten in dem Fall auf jeden Fall nichts dafür.

Dein Fehlerbild scheint mir aber genau das gleiche zu sein


LG
Jan

 

[TBross]

Hallo Mikel,
habt ihr hier eine Lösung gefunden? Wir haben ein ähnliches Verhalten.

Grüße
Torsten

 

[MikelF]

Hallo Mikel,
habt ihr hier eine Lösung gefunden? Wir haben ein ähnliches Verhalten.

Grüße
Torsten

Ja, Augen zu und durch. Die Netzwerklast ist vernachlässigbar und der Fehler hat sonst keine Auswirkung. Wir haben ihn tatsächlich ignoriert. Hast du irgendwelche Auswirkungen?

 

[TBross]

Auswirkungen auf den Betrieb hat es nicht. Aber wie bei euch mit "ADAudit Plus" nutzen wir Microsoft 365 Defender und erhalten dort ständig Warnmeldungen. Ist halt etwas nervig.

 

[TobiW]

Hallo,

wir haben ebenfalls diese Fehlermeldungen im Sicherheitsprotokoll. Der NSP macht laut Wireshark bei jeder eingehend Mail ein AS-REQ an einen Domain Controller mit host und dem CN aus dem Zertifikat des sendenden Servers.

Was dann die folgende Fehlermeldung auf dem DC nach sich ziet:

Ein Kerberos-Authentifizierungsticket (TGT) wurde angefordert.

Kontoinformationen:
    Kontoname:                host
    Angegebener Bereichsname:        REALM.DE
    Benutzer-ID:                S-1-0-0

Dienstinformationen:
    Dienstname:                krbtgt/REALM.DE
    Dienst-ID:                S-1-0-0

Netzwerkinformationen:
    Clientadresse:                xxxx:xxxx:xxxx:xxxx::22
    Clientport:                58372

Weitere Informationen:
    Ticketoptionen:            0x40810010
    Ergebniscode:                0x6
    Ticketverschlüsselungstyp:        0xFFFFFFFF
    Typ vor der Authentifizierung:    -

Zertifikatsinformationen:
    Zertifikatausstellername:       
    Seriennummer des Zertifikats:   
    Zertifikatfingerabdruck:       

Zertifikatinformationen werden nur bereitgestellt, wenn ein Zertifikat zur Vorauthentifizierung verwendet wurde.

Vorauthentifizierungtypen, Ticketoptionen, Verschlüsselungstypen und Ergebniscodes sind in RFC 4120 definiert.

Vielleicht kann der Support damit das Problem lösen, bei bedarf kann ich auch einen Paketmitschnitt liefern.

LG
Tobias

 

[JanJäschke]

Guten Morgen Tobias,

Danke für den Input. Genau das gleiche habe ich letzte Woche bei einem anderen Kunden festgestellt. Bisher haben wir noch keine wirkliche Erklärung sondern nur eine Theorie warum es so ist. Wir selber fragen das nämlich nicht aktiv an

Könntest du mir einmal sagen welche NSP Version und welche Windows Server Version bei dir im Einsatz ist?

Und als Frage: gibt es einen spezifischen Grund weshalb die Gateway Rolle im LAN Segment läuft? In der DMZ würde es natürlich nicth auftreten und wir schätzen, dass es deshalb noch kaum jemandem aufgefallen ist.

LG
Jan

 

[TobiW]

Guten Morgen Jan,

wir haben die folgende Versionen im Einsatz:

• NoSpamProxy: 15.0.0.222
• Gateway Role: 15.0.24045.1609
• Server 2019 letzter Patchstand 04-2024 CU

Dass die Gateway Rolle noch im LAN Segment läuft, ist historisch so gewachsen, diese wird kurzfristig in die DMZ wechseln.

LG
Tobias

 

[JanJäschke]

Dankeschön =)

 

[Dave]

Servus, auch uns ist das Phänomen aufgefallen - gibts hierzu schon ein Statement seitens NoSpamProxy?

 

[JanJäschke]

Wir bereiten grade ein offizielles Dokument dazu vor ^^

 

[Dave]

sehr fein, ich bin gespannt was die Rätsels Lösung ist

 

[869288141]

Wir bereiten grade ein offizielles Dokument dazu vor ^^

Wenn ich den Satz höre/lese, stellen sich mir die Nackenhaare...

 

[JanJäschke]

Ist nichts schlimmes
Möchte nur gerne, dass die Erläuterung einheitlich ist und ich nicht immer irgendwo leichte Abweichungen habe.
Zudem kann der Support dann ebenfalls damit arbeiten.

Wenn alles glatt geht bekomme ich heute die finale Version.

 

[JanJäschke]

Hallo zusammen

Ich habe nun das fertige Dokument und hänge es euch hier an.
Bei Fragen kommt gerne auf mich zu.

Beste Grüße,
Jan

 

[Dave]

Also um es kurz zu sagen - Fehler kann ignoriert werden, machen kann man erst einmal nichts außer auf eine neu NoSpamProxy Version zu warten (Version 16? )

 

[JanJäschke]

Genau so ist es
v16 wird das Problem noch nicht lösen, das wird leider noch etwas dauern. Die .NET Migration ist im vollen Gange.
Hier heißt es also leider geduldig sein.