CIFS and Kerberos, Windows XP unable to map network drive

As we transition to the new Hyland Community, some post links may be temporarily disrupted as we finalize redirects. We apologize for the inconvenience and are working to resolve this as quickly as possible. Details.

esafonov

After installing Alfresco 3.2 CE and configuring Alfresco against Active Directory using this http://wiki.alfresco.com/wiki/Alfresco_Authentication_Subsystems, I'v get this symptoms:
MS Windows XP Professional SP3 can't map network drive to Alfresco CIFS share using full host name (with domain part), but can map using short form (only hostname, without domain part):

does'nt work:

net use p: "\\alfresco.mydomain.ru\alfresco"‍

with error in alfresco.log and catalina.out:

ERROR [org.alfresco.smb.protocol.auth] java.lang.NullPointerException‍

And Windows XP says:

System error 1311‍

do work:

net use "\\alfresco.mydomain.ru"
net use p: "\\alfresco.mydomain.ru\alfresco"‍‍

I'v done some checks:

- time synchronization is ok,- kerberos is alive- can get ticket at alfresco server with kinit,- ldap syncronization is ok- user can login into alfresco with Alfresco Explorer login

The question is,
Why Windows XP workstation can map network drive to Alfresco CIFS server only if there is a connection to IPC$ before mapping ?
Does anybody have the same thing?


===============
[size=85]Centos 5.3 x86_64 Linux 2.6.18-164.el5
java version "1.6.0_11" Java(TM) SE Runtime Environment (build 1.6.0_11-b03) Java HotSpot(TM) 64-Bit Server VM (build 11.0-b16, mixed mode)
Active directory server: MS Windows 2003 Standart Edition server SP2
Workstation client: MS Windows XP Professional SP3
Alfresco 3.2 CE[/size]

/opt/alfresco/tomcat/shared/classes/alfresco-global.properties
[size=85]

cifs.enabled=true
cifs.serverName=alfresco
cifs.domain=LOCAL.UGSG.RU
cifs.hostannounce=true

authentication.chain=ldap1:ldap-ad,kb1:kerberos

…skipped…

kerberos.authentication.sso.enabled=true
kerberos.authentication.realm=LOCAL.UGSG.RU
kerberos.authentication.authenticateHTTP=false
kerberos.authentication.authenticateCIFS=true
kerberos.authentication.user.configEntryName=Alfresco
kerberos.authentication.cifs.configEntryName=AlfrescoCIFS
kerberos.authentication.http.configEntryName=AlfrescoHTTP

kerberos.authentication.http.password=skipped
kerberos.authentication.cifs.password=skipped
‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

[/size]

added:
There is a similar bug:
https://issues.alfresco.com/jira/browse/ETHREEOH-531

paulweb

Рабочий сервер:
OS: Centos 5.2
Alfresco 3.2r
Database: ORACLE 10g
Authentication: Kerberos +AD
И еще важный момент в сети у машины имя centos52 а полное centos 52.my-domain.ru.
В file-servers.properties
cifs.serverName=centos52
клиентская машина:
OS: winxp sp3

Сперва я не мог понять: почему cifs  отклоняет запрос win xp 3 на аутентификацию,  а вот если я делаю коннект с windows server 2003 то все нормально.
Затем я полез в код и добавил пару строчек для дебага. Перезапустив alfresco я выяснил следующие:
Если cifs servername и машина имеют одинаковое имя, то сперва на сервер посылается запрос на аутентификацию от машины клиента, а только потом от пользователя.    Alfresco отклоняет аутентификацию от машины, притом очень простым способом если имя клиента заканчивается на $ то эта машина и следовательно access denied. Затем клиент получает, что доступ запрещен и шлет  запрос на аутентификацию от пользователя p.web и тогда все нормально. Но только не в случае win xp sp3, при получении отказа она не посылает повторной запрос от пользователя, а выдает окошко для введения логина и пароля.
Что можно сделать:
1.   cifs.serverName=centos52A тогда все будет работать без проблем
2.   или использовать мой патч.

Извините за сумбурность, просто хочется помочь, сам был в такой ситуации. Если что то непонятно, могу привести ход своих рассуждений с примерами из кода, а так же приложить логи самой alfresco и снифера.

Why Windows XP workstation can map network drive to Alfresco CIFS server only if there is a connection to IPC$ before mapping ?

потому что на ipc$ alfresco дает доступ как в случае запроса аутетнитифкации от пользователя так и от машины. а вот дальше если имя заканчиватеся на $ то доступ Вам запрещен.

P.S:I hope with Russian was not mistaken? I can and to write in English if it is necessary.