Hallo,
ich hoffe, mir kann jemand bei meinem Problem weiterhelfen...
Ausgangszenario:
Ich habe einen printserver mit dem hostnamen prtsv001 in einer Filiale.
Die connections auf den clients sehen demgemäss so aus printerXY on prtsv001.
Nun fällt der server aus und für den failover habe ich die entsprechende queue auch auf einem print server
prtsv002 in einem entfernten RZ eingerichtet.
Die registry-Einträge für die Verwendung des CNames auf dem prtsv002 sind gesetzt !
Der host A Eintrag prtsv001 im DNS wird nun gelöscht und stattdessen ein CName Eintrag erstellt, der folgendermaßen aussieht:
prtsv001 CName prtsv002.MyDomain.net
Dadurch soll es ermöglicht werden, dass die clients aus der Filiale weiterhin in ihre queues drucken können aber die Jobs jetzt über den print server im RZ verarbeitet werden - natürlich mit einer schlechten performance aber immerhin.
Das funktioniert aus Unix-Systemen heraus ohne Probleme aber die Windows clients erhalten einen "Access denied" wenn sie auf ihre Druckerverbindung zugreifen.
Im event log sehe ich einen Fehler:
The kerberos client received a KRB_AP_ERR_MODIFIED error from the server host/prtsv002.MyDomain.net.
The target name used was cifs/prtsv001.MyDomain.net. This indicates that the password used to encrypt
the kerberos service ticket is different than that on the target server.
Commonly, this is due to identically named machine accounts in the target realm MYDOMAIN.NET),
and the client realm. Please contact your system administrator.
Kann ich das irgendwie beheben, z.B. durch Löschen des spn für den prtsv001
setspn -d host/prtsv001 prtsv001
setspn -d host/prtsv001.MyDomain.net prtsv001
und setzen des spn für den prtsv002
setspn -a host/prtsv001 prtsv002
setspn -a host/prtsv001.MyDomain.net prtsv002 ?
Und muss ich an der Kerberos policy "herumschrauben" und die max. lifetime reduzieren für service tickets ?
Ich weiss, dass dieses Failover Konzept keine Standardlösung ist und sicherlich auch nicht best practise aber der Geldbeutel des Kunden diktiert die Regeln.
Vielen Dank schon im Voraus für Tipps !
Jogeli
Jogeli
