从 Windows 到 Linux 的 HTTP 协商失败-6ren

从 Windows 到 Linux 的 HTTP 协商失败

转载作者：可可西里更新时间：2023-11-01 14:51:49

我正在尝试将我的本地 Windows 10 计算机验证为在 docker 容器内运行的 Web 服务。更具体地说，这个容器正在运行 Hadoop 服务和 MIT Kerberos KDC。我已经在我的本地机器上安装了适用于 Windows 的 MIT Kerberos 并成功获得了一张票 hadoop/quickstart.cloudera@CLOUDERA来自 KDC。当我在我的容器中使用相同的主体进行身份验证并调用此命令时:curl -i --negotiate -u : "http://quickstart.cloudera:50070/webhdfs/v1/?op=GETFILESTATUS"我得到一个有效的回应。但是，从我的 Windows 计算机运行的相同命令返回此错误:

Error 403 GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)

任何熟悉 SSPI/GSSAPI 的人都可以告诉我这里的问题可能是什么吗？

我有环境变量 KRB5CCNAME=<path to ccache>正确设置。这是来 self 的 Windows 命令提示符的 cURL 信息:

curl 7.52.1 (x86_64-w64-mingw32) libcurl/7.52.1 WinSSL zlib/1.2.8 WinIDN libssh2/1.7.0_DEV
Protocols: dict file ftp ftps gopher http https imap imaps ldap ldaps pop3 pop3s rtsp scp sftp smtp smtps telnet tftp
Features: IDN IPv6 Largefile SSPI Kerberos SPNEGO NTLM SSL libz

如果您需要有关我的环境设置的更多信息，请告诉我。

更新:

这是我使用 -v 运行命令时来自 Windows 机器的完整 HTTP 响应为冗长而添加的标志。

* timeout on name lookup is not supported
*   Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to quickstart.cloudera (127.0.0.1) port 50070 (#0)
> GET /webhdfs/v1/?op=GETFILESTATUS HTTP/1.1
> Host: quickstart.cloudera:50070
> User-Agent: curl/7.52.1
> Accept: */*
>
< HTTP/1.1 401 Authentication required
HTTP/1.1 401 Authentication required
< Cache-Control: must-revalidate,no-cache,no-store
Cache-Control: must-revalidate,no-cache,no-store
< Date: Fri, 10 Feb 2017 19:41:27 GMT
Date: Fri, 10 Feb 2017 19:41:27 GMT
< Pragma: no-cache
Pragma: no-cache
< Date: Fri, 10 Feb 2017 19:41:27 GMT
Date: Fri, 10 Feb 2017 19:41:27 GMT
< Pragma: no-cache
Pragma: no-cache
< Content-Type: text/html; charset=iso-8859-1
Content-Type: text/html; charset=iso-8859-1
< WWW-Authenticate: Negotiate
WWW-Authenticate: Negotiate
< Set-Cookie: hadoop.auth=; Path=/; HttpOnly
Set-Cookie: hadoop.auth=; Path=/; HttpOnly
< Content-Length: 1404
Content-Length: 1404
< Server: Jetty(6.1.26.cloudera.4)
Server: Jetty(6.1.26.cloudera.4)

<
* Ignoring the response-body
* Curl_http_done: called premature == 0
* Connection #0 to host quickstart.cloudera left intact
* Issue another request to this URL: 'http://quickstart.cloudera:50070/webhdfs/v1/?op=GETFILESTATUS'
* Found bundle for host quickstart.cloudera: 0x817220 [can pipeline]
* Re-using existing connection! (#0) with host quickstart.cloudera
* Connected to quickstart.cloudera (127.0.0.1) port 50070 (#0)
* Server auth using Negotiate with user ''
> GET /webhdfs/v1/?op=GETFILESTATUS HTTP/1.1
> Host: quickstart.cloudera:50070
> Authorization: Negotiate TlRMTVNTUAABAAAAt4II4gAAAAAAAAAAAAAAAAAAAAAKAFopAAAADw==
> User-Agent: curl/7.52.1
> Accept: */*
>
< HTTP/1.1 403 GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)
HTTP/1.1 403 GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)
< Cache-Control: must-revalidate,no-cache,no-store
Cache-Control: must-revalidate,no-cache,no-store
< Date: Fri, 10 Feb 2017 19:41:27 GMT
Date: Fri, 10 Feb 2017 19:41:27 GMT
< Pragma: no-cache
Pragma: no-cache
< Date: Fri, 10 Feb 2017 19:41:27 GMT
Date: Fri, 10 Feb 2017 19:41:27 GMT
< Pragma: no-cache
Pragma: no-cache
< Content-Type: text/html; charset=iso-8859-1
Content-Type: text/html; charset=iso-8859-1
< Set-Cookie: hadoop.auth=; Path=/; HttpOnly
Set-Cookie: hadoop.auth=; Path=/; HttpOnly
< Content-Length: 1546
Content-Length: 1546
< Server: Jetty(6.1.26.cloudera.4)
Server: Jetty(6.1.26.cloudera.4)

<
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1"/>
<title>Error 403 GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)</title>
</head>
<body><h2>HTTP ERROR 403</h2>
<p>Problem accessing /webhdfs/v1/. Reason:
<pre>    GSSException: Defective token detected (Mechanism level: GSSHeader did not find the right tag)</pre></p><hr /><i><small>Powered by Jetty://</small></i><br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>
<br/>

</body>
</html>
* Curl_http_done: called premature == 0
* Closing connection 0

相比之下，这是在我的容器中运行相同命令的响应:

* About to connect() to quickstart.cloudera port 50070 (#0)
*   Trying 172.18.0.2... connected
* Connected to quickstart.cloudera (172.18.0.2) port 50070 (#0)
> GET /webhdfs/v1/?op=GETFILESTATUS HTTP/1.1
> User-Agent: curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.15.3 zlib/1.2.3 libidn/1.18 libssh2/1.4.2
> Host: quickstart.cloudera:50070
> Accept: */*
>
< HTTP/1.1 401 Authentication required
HTTP/1.1 401 Authentication required
< Cache-Control: must-revalidate,no-cache,no-store
Cache-Control: must-revalidate,no-cache,no-store
< Date: Fri, 10 Feb 2017 21:15:39 GMT
Date: Fri, 10 Feb 2017 21:15:39 GMT
< Pragma: no-cache
Pragma: no-cache
< Date: Fri, 10 Feb 2017 21:15:39 GMT
Date: Fri, 10 Feb 2017 21:15:39 GMT
< Pragma: no-cache
Pragma: no-cache
< Content-Type: text/html; charset=iso-8859-1
Content-Type: text/html; charset=iso-8859-1
< WWW-Authenticate: Negotiate
WWW-Authenticate: Negotiate
< Set-Cookie: hadoop.auth=; Path=/; HttpOnly
Set-Cookie: hadoop.auth=; Path=/; HttpOnly
< Content-Length: 1404
Content-Length: 1404
< Server: Jetty(6.1.26.cloudera.4)
Server: Jetty(6.1.26.cloudera.4)

<
* Ignoring the response-body
* Connection #0 to host quickstart.cloudera left intact
* Issue another request to this URL: 'http://quickstart.cloudera:50070/webhdfs/v1/?op=GETFILESTATUS'
* Re-using existing connection! (#0) with host quickstart.cloudera
* Connected to quickstart.cloudera (172.18.0.2) port 50070 (#0)
* Server auth using GSS-Negotiate with user ''
> GET /webhdfs/v1/?op=GETFILESTATUS HTTP/1.1
> Authorization: Negotiate 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
> User-Agent: curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.15.3 zlib/1.2.3 libidn/1.18 libssh2/1.4.2
> Host: quickstart.cloudera:50070
> Accept: */*
>
< HTTP/1.1 200 OK
HTTP/1.1 200 OK
< Cache-Control: no-cache
Cache-Control: no-cache
< Expires: Fri, 10 Feb 2017 21:15:39 GMT
Expires: Fri, 10 Feb 2017 21:15:39 GMT
< Date: Fri, 10 Feb 2017 21:15:39 GMT
Date: Fri, 10 Feb 2017 21:15:39 GMT
< Pragma: no-cache
Pragma: no-cache
< Expires: Fri, 10 Feb 2017 21:15:39 GMT
Expires: Fri, 10 Feb 2017 21:15:39 GMT
< Date: Fri, 10 Feb 2017 21:15:39 GMT
Date: Fri, 10 Feb 2017 21:15:39 GMT
< Pragma: no-cache
Pragma: no-cache
< Content-Type: application/json
Content-Type: application/json
< Set-Cookie: hadoop.auth="u=hadoop&p=hadoop/quickstart.cloudera@CLOUDERA&t=kerberos&e=1486797339425&s=BqBHGJ+/FxxeSR0ayBXHOrfPkwU="; Path=/; HttpOnly
Set-Cookie: hadoop.auth="u=hadoop&p=hadoop/quickstart.cloudera@CLOUDERA&t=kerberos&e=1486797339425&s=BqBHGJ+/FxxeSR0ayBXHOrfPkwU="; Path=/; HttpOnly
< Transfer-Encoding: chunked
Transfer-Encoding: chunked
< Server: Jetty(6.1.26.cloudera.4)
Server: Jetty(6.1.26.cloudera.4)

<
* Connection #0 to host quickstart.cloudera left intact
* Closing connection #0
{"FileStatus":{"accessTime":0,"blockSize":0,"childrenNum":5,"fileId":16385,"group":"supergroup","length":0,"modificationTime":1459909590753,"owner":"hdfs","pathSuffix":"","permission":"755","replication":0,"storagePolicy":0,"type":"DIRECTORY"}}

最佳答案

在这种情况下答案很简单。 Windows 上的 Curl 是使用 SSPI 编译的。当请求 SSPI 执行 SPNEGO 时，它会尝试 Kerberos，但在这里失败了。可能是“在数据库中找不到服务器”(使用 Wireshark)，然后回退到 NTLM。它向您的 JGSS 支持的服务器发送一个原始的 NTLM token ，该服务器拒绝该 token ，因为

这不是 SPNEGO 包装的 token ，而是原始的 NTLM token
Java 不支持 NTLM

Here是示例代码如何拦截它并用有意义的消息进行响应。提出 Hadoop 问题。

此外，您在 Linux 上的 Curl 版本 7.19.7 非常旧且不安全，您应该立即升级并且 Jetty 上的 SPNEGO Authenticator 已损坏，因为它不响应上下文完成 token 。综上所述，整个认证不应该被信任，因为它是错误的。参见 RFC 7546 .

关于从 Windows 到 Linux 的 HTTP 协商失败，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/42167776/

文章推荐： c# - 如何获取此验证码图像链接？

文章推荐： html - 如何仅使用 CSS 制作圆形面包屑

php - fopen 失败，getaddrinfo 失败
我在使用以下代码时遇到问题: function http_file_exists($url){ $f=fopen($url,"r"); if($f){ fclose($f); retu
Git 推送到 Azure 失败(RPC 失败)
我已经通过 Git 部署到 Azure 几个月了，没有出现重大问题，但现在我似乎遇到了一个无法克服的错误。我创建了一个新的 Azure 网站，为正在开发的项目创建单独的预览链接。我在新站点上设置了
flutter - Flutter:构建应用程序 bundle 失败:失败:构建失败，出现异常
我已经通过flutter创建了一个App并完成了它，我想在flutter文档中阅读时进行部署。我收到此错误: FAILURE: Build failed with an exception. * W
powershell - Powershell ForEach循环间歇性工作-工作，失败，工作，失败，工作等
我在Windows 10中使用一些简单的Powershell代码遇到了这个奇怪的问题，我认为这可能是我做错了，但我不是Powershell的天才。我有这个: $ix = [System.Net.Dn
curl - 快速 JSON 失败，断言 `IsObject()' 失败
我正在尝试使用 RapidJSON 解析从服务器接收到的数据。以下是收到的确切字符串: [ { "Node": "9478149a08f9", "Address": "172.17
c++ - 为 iOS 编译 OpenCV 失败 - Cmake 失败
我尝试为 ios 编译 OpenCV。我总是收到这些错误。我用不同版本的opencv试了一下，结果都是一样的。我运行这个:python 平台/ios/build_framework.py ios_o
c# - Redis Server 失败，Socket 失败，超出输出缓冲区限制，我该如何增加限制？
我在一台机器上做基本的发布/订阅，我的客户端是 StackExchange-Redis 的 C# 客户端，我在同一台机器上运行基于 Windows 的 Redis 服务器(服务器版本 2.8.4) 当
php - 编辑 php mysqli CRUD 失败 - 仅更新数据 mysql 失败
我有这段代码，但无法执行，请帮我解决这个问题连接 connect_error) { die ("connection failed: " . $terhubung->connect_erro
java - (警告)扫描 JAR 失败(错误)处理 JAR 失败
我在 tomcat 上运行并由 maven 编译的 Web 应用程序给出了以下警告和错误。我可以在本地存储库中看到所有 JAR，但有人可以帮忙吗。 WARNING: Failed to scan JA
android - ndk-build 失败，process_begin : CreateProcess(NULL, uname -a, ...) 失败
我正在 Windows 8 上使用 Android Studio 开发一个 android 应用程序，我正在使用一些 native 代码。突然间我无法编译我的 C 文件。当我运行 ndk-build
c++ - 使用 boost 反序列化二进制数据时 static_assert 失败 "typex::value"失败
下面的代码对类和结构的成员进行序列化和反序列化。序列化工作正常，但我在尝试使用 oarch >> BOOST_SERIALIZATION_NVP(outObj); 反序列化时遇到了以下错误；代码中是
ruby-on-rails - Rspec 测试以 'rspec' 失败，但以 'rspec path_of_the_file' 失败
如果我运行此命令“rspec ./spec/requests/api/v1/password_reset_request_spec.rb”，此文件中的所有测试都会通过。但是，当我运行“rspec”时
angular - 加载文件 Protractor 失败 - 失败 : script timeout: result was not received in 11 seconds
我在尝试执行测试以使用 Protractor 上传文件时出错，我的代码是这个 it('it should be possible to upload a file', function() {
java - System.loadLibrary 失败，错误为 : java. lang.UnsatisfiedLinkError:dlopen 失败:无法找到符号 "__aeabi_memmove4"
System.loadLibrary("nativefaceswap"); 当我运行我的应用程序时，我在 Android Studio 中发现了此类错误。在logcat中显示: java.lang.U
git - SSL_ERROR_SYSCALL 和 gnutls_handshake() 失败 - SSL/HTTPS 失败 [Ubuntu Server 18.04]
我希望有人能帮助我!使用任何方法或命令行的任何 SSL/HTTPS 调用均无效。我在 Windows 10 中使用 Ubuntu Server 18.04 作为子系统。我的问题是昨天才开始出现的，因
mysql - Django South - db.alter 函数删除 null=true Blank=true 失败，mysql 失败
通过删除这两个值将日期字段从 null=True 和 Blank=True 更改为 required 时，使用 db.alter 命令时遇到问题。当以下行被注释掉时，迁移运行不会出现问题。
linux - python setup.py egg_info"失败，错误代码为 1 in/tmp/pip-build-zsm7incx/phonenumbers/- 失败
我第一次使用 Heroku 尝试创建应用程序(使用 SendGrid 的 Inbound Parse Webhook"和 Twilio SMS 通过电子邮件发送和接收 SMS 消息)。通过 Virtu
ios - Xcode 7 失败，Command/Applications/Xcode.app/Contents/Developer/Toolchains/XcodeDefault.xctoolchain/usr/bin/swiftc 失败，退出代码为 1
我正在将我的 swift 项目更新到 Xcode 7 上的 Swift 2.0。xcode 在构建项目时报告了以下错误: 命令/Applications/Xcode.app/Contents/Deve
SSL_library_init() 失败
在我的代码中，SSL 库函数 SSL_library_init() 没有按预期返回 1。我如何才能看到它返回了什么错误？我在 SSL_library_init() 之后调用了 SSL_load_er
jQuery .load() 失败
我正在尝试运行在以下链接中找到的答案: Asynchronously Load the Contents of a Div 但是当我这样做时，我会遇到我不太理解的错误。我的代码: $(documen

可可西里

个人简介

我是一名优秀的程序员,十分优秀！

作者热门文章

滴滴打车优惠券免费领取

全站热门文章

首页

博学

6Ren·AI

商城

从 Windows 到 Linux 的 HTTP 协商失败