java - Kerberos:通过IP地址访问主机

Question

我知道 Kerberos 不适用于 IP 地址，它仅依赖于域名和正确的 DNS 条目。

但是我发现旧版本的overthere库允许使用IP地址进行Kerberos身份验证。

我从那边提取了代码并创建了一个小型 java 项目来演示 https://github.com/igolikov/KerberosWithIP

它使用 Apache HttpClient 将 WSMan 请求发送到 hyper-v 主机。

我还发现它适用于 httpclient 4.3.3，但不适用于 httpclient 4.4.1

它怎么可能与IP一起工作？

UPD1。我认为 httpclient 或 sun.security 中的某些内容可能会使用反向 DNS 查找。我尝试使用 Wireshark 拦截流量，发现 1 个反向 DNS 查找(in-addr.arpa)，但它响应“没有这样的主机”，因为默认 DNS 服务器无法为此 IP 执行反向 DNS。

UPD2。这是服务器配置主机名和 IP 地址都有 SPN

SPN( 1 )   =       WSMAN/10.10.64.60 1+=1
SPN( 1 )   =       HOST/somehost.corp.org.com 1+=1
SPN( 1 )   =       HOST/somehost 1+=1

Answer 1

Kerberos 可以在没有 DNS 的情况下正常工作，DNS 解决的问题是连接双方同意使用相同的服务主体。如果我使用 kerberos API 将该主体修复为标准主体，那么只要服务器端的 key 表中有该主体，它就会继续工作。

即在连接之前，您必须知道要连接的服务使用的 kerberos 主体。大多数服务主体的形式为

service/dns.name.of.host

但是服务主体可以是任何东西，只要客户端软件知道“以某种方式”使用什么。