c# - NegotiateStream 无法通过 SASL (POP3/IMAP/SMTP) 使用 Kerberos/NTLM/GSSAPI？

Question

我正在尝试获取集成 Windows 身份验证(使用当前登录的 Windows 用户的默认凭据)以登录 Exchange 2007 帐户 (SMTP/POP3/IMAP)。

我已经有了这个的工作实现，但它使用 SSPI 函数，因此需要非托管代码权限(不好)。我尝试为此使用 NegotiateStream 类，但它不起作用。

您不能直接将 NegotiateStream 与 POP3/IMAP/SMTP 一起使用，因为整个对话中的每个请求和响应都需要包装在 base64 中并包含邮件协议(protocol)后缀等。因此，我实现了自己的流类，它这样做，并将其注入(inject)到 NetworkStream 和 NegotiateStream 之间。但是，我注意到由 NegotiateStream 创建的请求和它期望的响应与我成功使用的请求(以及由其他能够进行 NTLM/GSSAPI 类型身份验证的邮件客户端创建的请求)不同。

特别是，NegotiateStream 首先发送一个 5 字节长度的请求，这是其他实现不会发送的。此数据包被 Exchange 拒绝并显示“协议(protocol)错误”消息。

NegotiateStream 创建的第二个请求是正确的(以 NTLMSSP 开头)。因此，我决定忽略我的 base64 编码中间流中的第一个数据包，而不发送它。当 Exchange 得到第二个数据包时，它成功吃掉这个数据包并返回正确的继续响应。然而，这一次 NegotiateStream 现在想要接收 5 字节的响应，而服务器返回了更大的响应。简而言之，NegotiateStream 发送 +1 请求并期待 +1 响应。

我可以避免发送第一个“冗余”的 5 字节数据包，但我无法发明 NegotiateStream 期望的第一个 5 字节响应数据包。我尝试提供 NegotiateStream 之前尝试发送的相同数据包，但这当然没有用。

我想了解发生了什么以及如何解决这个问题。同样的行为发生在 Windows XP SP3 和 Windows Server 2008 上。

我不是 Kerberos/GSSAPI 专家，但根据我在文档中的发现，Kerberos 对话似乎确实应该以 5 字节数据包开始。但是，我在使用其他工作工具时从未见过它，Exchange 也拒绝它。也许，当通过 SASL 协议(protocol)(在 POP3/IMAP/SMTP 中用于身份验证)使用 GSSAPI 时，应该省略第一个数据包？但是我如何告诉 NegotiateStream 这件事，或者至少当它期望来自服务器的 5 字节响应时我应该向它发送什么？

我尝试了不同的 NegotiateStream 模式，我还向 Exchange 发出了 AUTH NTLM 和 AUTH GSSAPI 但这一切都没有区别。其他工作实现(同时支持 GSSAPI 和 NTLM)都以相同的方式工作(GSSAPI 和 NTLM 数据包之间没有太大区别)。所有传入和传出的数据包都大于 5 个字节。

我也尝试在 Windows XP 上使用 IIS SMTP 服务，结果相同。基于 SSPI 的非 NegotiateStream 实现工作，而 NegotiateStream 由于第一个数据包而不工作。如果我不发送它，我不知道 NegotiateStream 期望的第一个响应是什么。

我曾经认为应该可以让它工作，因为 SmtpClient 类可以以某种方式管理它并使用默认凭据和 NTLM 进行身份验证。但是我发现 SmtpClient 并没有在内部使用 NegotiateStream，它只是进行非托管的 SSPI 调用，就像我在旧版本的软件中所做的那样。

也尝试使用 Visual Studio 2010/.NET 4.0。运气不好(也没有新的方法/属性来微调 NegotiateStream 中的内容)。

我完全迷路了:-(

Answer 1

我不确定问题到底是什么。你想/必须使用 NegotiateStream 编写你自己的实现吗？或者您是否只需要将 GSSAPI/Kerberos 身份验证与 SMTP/IMAP/POP3 一起使用？在这种情况下，支持 GSSAPI 并通过 Exchange 服务器测试的邮件组件(例如我们的 Rebex Secure Mail )可能是一个不错的选择并且可以节省时间。

以下代码将使用 GSSAPI 连接并登录到 Exchange 服务器 SMTP:

Smtp smtp = new Smtp();
smtp.Connect("yourserver");
smtp.Login("username","password", SmtpAuthentication.GssApi);

...
smtp.Disconnect();