NTLMv1身份验证对LDAP（SASL / GSS-SPNEGO）进行故障转移

Question

我有一个部署可以归结为以下内容-

客户<======> | Web服务器 <=======> | Win2k3服务器|

卷毛机[WS] [AD]

Curl加载程序（IE 8.0）上的用户尝试访问WS上的页面，并且仅在用户通过LDAP向AD进行身份验证之后才被授予访问权限。此处遵循的消息序列与[MS-NTHT] -http中的 4.1节非常相似。 //msdn.microsoft.com/zh-CN/library/cc237488%28v=prot.10%29.aspx

当2个并发SASL绑定请求到达AD服务器时，LDAP服务器最终拒绝一个声明无效凭据的请求。 另一个请求成功认证。

两个客户端请求都具有相同的凭据，但是尽管用户名/密码正确（已多次验证），但AD始终返回“ invalidCredentials”。

以下是我从广告收到的BIND响应。 [AD] => [WS] ::绑定响应（invalidCredentials）； 8009030C：LdapErr：DSID-0C09043E，注释：AcceptSecurityContext错误，数据0，vece

关于如何调试此问题的任何指针？

Answer 1

我认为我能够找到导致该问题的原因。 问题是LDAP服务器在Type-2消息中发出的质询与在Type-3消息中发送的质询不匹配。 因此，服务器无法识别消息凭据。

调试步骤。 数据包捕获分析，可实现完整的呼叫流程。

谢谢！