Replica DC interrotta - RC4
Di recente abbiamo modificato l'impostazione dei Criteri di gruppo "Sicurezza di rete: configura i tipi di crittografia consentiti per Kerberos" per includere solo i tipi AES-128, AES-256 e Future Encryption, rimuovendo la vecchia selezione che aveva RC4 abilitato. Il dominio è un livello funzionale 2008 R2 con un 12R2 DC e un 16 DC. Ora i controller di dominio non riescono a replicarsi. Ho riattivato RC4 nell'oggetto Criteri di gruppo, ma entrambi i controller di dominio non riescono ad aggiornarsi al nuovo oggetto Criteri di gruppo, con un errore che dice che non possono autenticarsi.
Qualche idea? La rete è praticamente inattiva per gli utenti al momento.
Risposte
MODIFICARE :
Prova (spiegazione nei commenti)
HKLM \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ Kerberos \ Parameters \ Value Nome: SupportedEncryptionTypes Tipo: REG_DWORD Dati valore: 2147483647 (decimale)
Spiegazione :
-Sul mio controller di dominio di prova, ho configurato la politica in questione per consentire tutti i tipi di crittografia. Guardando la mia cartella in cui vengono salvati gli elementi GPO: C: \ Windows \ SYSVOL \ sysvol \ domain \ policies \ C'è una cartella denominata dal nome oggetto appena creato. Se apro questa cartella e poi vado su Macchina> Microsoft> Windows NT> Secedit> GptTmpl.ini <apro questo file Lì puoi vedere il registro che imposta i miei set di criteri. Nel mio caso è: \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ Kerberos \ Parameters \ Value Name: SupportedEncryptionTypes Tipo: REG_DWORD Dati valore: 2147483647 (decimale)
-Puoi provare a impostare quella chiave di registro su quel valore e dovrebbe fare lo stesso dell'oggetto GPO.
-Non dimenticare di limitare il criterio ai tipi di crittografia desiderati, poiché l'impostazione del registro abilita tutti.