接收WWW-Authenticate时，浏览器挂起：协商

Question

当Windows7上的IE或Chrome收到带有“WWW-Authenticate：Negotiate”标题的回复时，它会挂起几秒钟。

我会假设它向KDC发出网络请求并且请求超时。但这可能是错误的假设。

服务器keytab是否确定浏览器查询哪个KDC？

有没有办法调试这个？

谢谢！

Answer 1

要回答您的第一个问题，请避免假设超时找到KDC - 只有网络捕获可以告诉您。虽然它实际上可能正在这样做，它也可能无法使用NTLM然后成功，因为Kerberos在某处被破坏。

要回答第二个问题，密钥表不会确定浏览器查询哪个KDC。密钥表中没有任何内容可以做到这一点。我在这个答案的底部放置了一个示例keytab的图像。现在，被查询的KDC由DNS控制。该进程只会被C：\ Windows \ krb5.ini中设置的值覆盖 - 如果该文件存在 - 并且默认情况下它不存在于Windows上。要回答您的上一个问题，您可以使用Wireshark捕获进行调试，在WireShark搜索字段中过滤“kerberos”，以查看Kerberos流量可能正在执行或未执行的操作。这将告诉你所有你需要知道的事情。