Не работает идентификация по пользователям AD в АТР500

MPerov

Вот событие с кодом 4768. Здесь нет информации о пользователе. Только адрес и имя рабочей станции. Таких событий, к стати, не много. В основном 4769 и 4770.
Не тестируемой машине при входе в домен это событие в логе контроллера не появляется...

MPerov

В таблице пользователей вообще нет sso. Только http/https  и l2tp пользователи.

MPerov

Логичнее было бы использовать данные с кода 4624 - там все необходимо есть как раз )

MPerov

Вот наконец-то я нашел верный лог с кодом 4768. Я пользователь появился в списке sso агента на контроллере.
Но есть 2 момента, которые непонятны:
1. В списке пользователей на шлюзе этот логин все равно не появляется и конечно никакие правила не работают по нему.
2. На тестовой машине при входе под моим пользователем этого события (4768) на контроллере не появляется и тестовый пользователь в списке sso агента не появляется... Почему так происходит? Никаких специфических настроек нет.

Zyxel_Andrew

1. Проведите тест с входом пользователя после чего он попадает в список пользователей SSO агента. Сделайте захват пакетов на шлюзе с интерфейса куда подключен DC за это время и пришлите его вместе с лог SSO агента за этот же период.
Еще покажите ответ шлюза на команду show sso agent status

2. Если при входе пользователя в логе DC не появляется лог с ID 4768 то такой пользователь не будет зарегистрирован агентом. 
Вот что написано об этом ID в Интернете:
Источник: http://eventopedia.cloudapp.net/

EventID 4768 - A Kerberos authentication ticket (TGT) was requested - Success.

Indicates that the authentication ticket was granted to a user or computer account requesting it. In other words, this event indicates successful user/computer initial domain logon

Как я понимаю этот ID не появляется при каждом входе пользователя в домен, а только во время первого входа (например в начале дня).

MPerov

Router> show sso agent status

ZySSO Primary Agent: online

ZySSO Secondary Agent: offline

Router>

MPerov

"Как я понимаю этот ID не появляется при каждом входе пользователя в домен, а только во время первого входа (например в начале дня)." - я и перегружал ПК и выходил из сеанса - без разницы...
Но в целом, с этим будем разбираться потом.. Сначала надо добиться того, чтобы на шлюзе виделись хотя бы те пользователи, которые в списке агента появились.

Zyxel_Andrew

Понятно, тогда жду результатов этой проверки:

1. Проведите тест с входом пользователя после чего он попадает в список пользователей SSO агента. Сделайте захват пакетов на шлюзе с интерфейса куда подключен DC за это время и пришлите его вместе с лог SSO агента за этот же период.

MPerov

Все прикладываю...

Zyxel_Andrew

В логе есть информация что сообщение на шлюз было отправленно.
[2020/11/30 06:03:46 PM] [DC] [INFO] perov@AAT, IP:192.168.100.117 logon successfully from DC: AAT.

[2020/11/30 06:03:46 PM] [Gateway] [INFO] Succeed in sending information of perov(192.168.100.117) to Gateway(192.168.100.1).
На всякий случай, какой ответ на команду query user запущенную после входа на машине с 192.168.100.117?

Текстовый файл захвата пустой. Какие были параметры на шлюзе при запуске захвата?
Если до шлюза ничего не доходит, может имеет смысл на самом DC проверить что он отправляет?