KB5011233: Các bảo vệ trong CVE-2022-21920 có thể chặn xác thực NTLM nếu xác thực Kerberos không thành công

Hành động

Microsoft khuyên bạn nên phân loại tại sao việc xác thực Kerberos cho SPN 3 phần không thành công. Một số lý do phổ biến khiến xác thực Kerberos thất bại bao gồm: 

• SPN đang được sử dụng làm đích cho xác thực bị sai định dạng. Để biết thêm thông tin, hãy xem Định dạng Tên cho CÁC SPN Duy nhất.

  Lưu ý: Các ứng dụng và API có thể có những định nghĩa nghiêm ngặt hơn hoặc khác nhau về những gì tạo thành một SPN hợp pháp cho dịch vụ của chúng.

  Ví dụ về SPN hợp lệ

  http/webserver

  Host/machine2.contoso.com

  Ldap/machine1.contoso.com/contoso.com

  Dịch vụ/máy 1:10100

  
  Ví dụ về các SPN có thể bị sai định dạng

  SPN	Lý do
  Máy chủ/máy chủ/máy 1	Máy chủ/máy chủ nhiều khả năng là lỗi vì "máy chủ" thường là lớp dịch vụ chứ không phải tên máy. Có thể SPN hợp lệ là máy chủ/máy 1.
  Ldap/machine/contoso.com:10100	Cổng có thể được xác định trên tên máy chủ ("máy tính") và không phải trên tên bản thể hiện dịch vụ. Có thể SPN hợp lệ là "ldap/machine:10100/contoso.com"
  Ldap/dc-a/DC=CONTOSO,DC=COM	Một số API nhất định sẽ có tên DNS thay vì FQDN. Ví dụ: hàm DsBindA (NTdsapi.h) sẽ được truyền vào tên DNS. Nếu FQDN được truyền đi, nó có thể dẫn đến SPN bị sai định dạng.   SPN hợp lệ có thể là "ldap/dc-a/contoso.com"

  Để giải quyết những vấn đề này, hãy cân nhắc sử dụng SPN chính xác hoặc đăng ký SPN sai định dạng vào tài khoản dịch vụ chính xác.

• SPN đang được sử dụng làm đích cho xác thực không tồn tại. Để giải quyết vấn đề này, hãy cân nhắc việc đăng ký SPN vào tài khoản dịch vụ chính xác.

• Máy khách Windows nối của Windows không có Line of Sight đối với bộ điều khiển miền (chẳng hạn như DCs đang ngoại tuyến, không thể phát hiện được trong DNS hoặc không thể truy nhập vào cổng KDC bị chặn).

• Bạn có thể đang sử dụng tên NetBIOS trong một kịch bản mà tên NetBIOS không hoạt động. Ví dụ là truy nhập tài nguyên miền từ máy không liên kết với miền và độ phân giải tên NetBIOS bị vô hiệu hóa hoặc không hoạt động.
  
  Microsoft khuyên bạn nên sử dụng Tên Chính của Người dùng (UPN) hoặc Hệ thống Tên Miền (DNS) thay vì tên NetBIOS.