測試網站是否使用Kerberos身份驗證

Question

如何檢查IIS網站是否成功使用Kerberos並且不會回退到NTLM？

Answer 1

的一種方式是，對NTLM的HTTP_AUTHORIZATION頭始終與下面開始：

Negotiate TlRMTVNTUA 

如果標題不文本，然後在瀏覽器啓動正在使用Kerberos進行身份驗證。

Answer 2

我能想到的最簡單的方法是使用wireshark觀察網絡數據包，並確認您的IIS服務器正在從DC請求Kerberos票證。

Answer 3

您可以在Web服務器的事件查看器中檢查安全日誌。

您也可以在客戶機上啓動KerbTray並檢查它是否使用正確的SPN。 Kerbtray可用here（不要擔心，它不只是Win2000）。我發現在你所使用Kerberos代碼來測試

Answer 4

那麼，Negotiate也可以是Kerberos，因爲它是Kerberos和NTLM的包裝。像其他人一樣，Wireshark（或網絡監視器）和安全事件日誌不會欺騙你。

Answer 5

Fiddler2將指示驗證標頭是否是NTLM vs Kerberos。

Authorization Header (Negotiate) appears to contain a Kerberos ticket: 
60 82 13 7B 06 06 2B 06 01 05 05 02 A0 82 13 6F `.{..+..... .o 

---

WWW-Authenticate Header (Negotiate) appears to be a Kerberos reply: 
A1 81 A0 30 81 9D A0 03 0A 01 00 A1 0B 06 09 2A ¡ 0 ....¡...* 

Answer 6

我使用安全日誌中的事件查看器來檢查象已經提到的人。這裏是一個成功的遏制認證：

Successful Network Logon: 
User Name: {Username here} 
Domain:  {Domain name here} 
Logon ID: (0x0,0x########) 
Logon Type: 3 
Logon Process: Kerberos 
Authentication Package: Kerberos 
Workstation Name: 
Logon GUID: {########-####-####-####-############} 
Caller User Name: - 
Caller Domain: - 
Caller Logon ID: - 
Caller Process ID: - 
Transited Services: - 
Source Network Address: - 
Source Port: - 


For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.