Replicação DC quebrada - RC4

Question

Recentemente, alteramos a configuração da Diretiva de Grupo "Segurança de rede: configurar tipos de criptografia permitidos para Kerberos" para incluir apenas os tipos AES-128, AES-256 e Criptografia futura, removendo a seleção antiga que tinha RC4 habilitado. O domínio é um nível funcional 2008 R2 com um DC 12R2 e um DC 16. Agora os DCs não estão conseguindo replicar. Reativei o RC4 no GPO, mas ambos os nossos DCs falham ao atualizar para o novo GPO, com um erro informando que não podem autenticar.

Alguma ideia? A rede está praticamente inoperante para os usuários no momento.

Answer 1

EDITAR:

Tente (explicação nos comentários)

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\ Nome do valor: SupportedEncryptionTypes Tipo: REG_DWORD Dados do valor: 2147483647 (Decimal)

Explicação:

-No meu Test DC, configurei a política em questão para permitir todos os tipos de criptografia. Examinando minha pasta onde os itens do GPO são salvos: C:\Windows\SYSVOL\sysvol\domain\policies\ Há uma pasta nomeada pelo nome do objeto recém-criado. Se eu abrir esta pasta e depois ir em Machine > Microsoft > Windows NT > Secedit > GptTmpl.ini < abra este arquivo Lá você pode ver o registro configurando meus conjuntos de políticas. No meu caso é: \SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters\ Nome do valor: SupportedEncryptionTypes Tipo: REG_DWORD Dados do valor: 2147483647 (Decimal)

-Você pode tentar definir essa chave de registro para esse valor e deve fazer o mesmo que o objeto GPO.

-Não se esqueça de restringir a política aos tipos de criptografia que você deseja, pois a configuração do registro permite tudo.