topic Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco in Alfresco Archive

Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Mon, 29 Oct 2018 16:54:36 GMT

Buenas a todos,Tengo instalado en una máquina con Debian 9.5 Alfresco, y tengo configurado la sincronización con Active Directory en un Windows Server 2012 R2. La sincronización con AD se realiza correctamente y puedo logearme con los usuarios a través de la web. Cuando quiero acceder mediante CIFS

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

angelborroy — Tue, 30 Oct 2018 09:42:01 GMT

Esa configuración (creo) que no es posible.

Authentication subsystem types | Alfresco Documentation

Cuando utilizas LDAP-AD no hay posibilidad de autenticación CIFS.

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

angelborroy — Tue, 30 Oct 2018 09:45:02 GMT

Ahora recuerdo que puedes autenticar CIFS contra el dominio Windows utilizando Passthru.

Sería algo así.

# Passthru
passthru.authentication.servers=DOMAIN.LOCAL\\server.local
alfresco.authentication.authenticateCIFS=false
ldap.authentication.active=false
authentication.chain=alfinst:alfrescoNtlm,passthru1:passthru,ldap1:ldap-ad‍‍‍‍‍

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Mon, 05 Nov 2018 08:17:18 GMT

Tengo esa configuración si te fijas y es la que no me funcionaba:

### LDAP : Authentication ###
authentication.chain=alfinst:alfrescoNtlm,passthru1assthru,ldap1:ldap-ad

ntlm.authentication.sso.enabled=false
ntlm.authentication.authenticateCIFS=false
alfresco.authentication.authenticateCIFS=false
alfresco.authentication.allowGuestLogin=false
passthru.authentication.sso.enabled=false
passthru.authentication.authenticateCIFS=true
ldap.authentication.active=false
ldap.synchronization.active=true

passthru.authentication.useLocalServer=false
passthru.authentication.domain=
passthru.authentication.servers=AYUNTAMIENTO\\172.16.103.41

¿Cómo podría obtener más información en los archivos de log para ver la comunicación mediante CIFS?

Gracias

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

angelborroy — Mon, 05 Nov 2018 09:12:30 GMT

Aquí tienes algunas herramientas más:

¿Has verificado que CIFS sin AD funcione desde los ordenadores de los usuarios? Alfresco solo soporta SMBv1.

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Mon, 05 Nov 2018 09:46:39 GMT

Revisé esa publicación y habilité NTLM v2, pero parece que el error no estaba ahí. Estoy intentando conseguir más detalles en el archivo alfresco.log pero no lo consigo. He editado /opt/alfresco-community/tomcat/webapps/alfresco/WEB-INF/clases/log4j.properties tanto editando la línea log4j.rootLogger=error y cambiándola a log4j.rootLogger=debug, pero no me aparece debug del error que comenté. ¿Qué debería de editar en ese fichero para ver logs de debug de CIFS? ¿Ese es el fichero que tengo que editar?

CIFS funciona sin AD, con el usuario admin de alfresco, el problema viene cuando intento autenticarme con los usuarios AD.

Gracias Ángel

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

angelborroy — Mon, 05 Nov 2018 10:02:09 GMT

Para cambiar el nivel de log, lo más cómodo es utilizar el directorio de extensión.

log4j.properties file | Alfresco Documentation

Puedes renombrar el fichero custom-log4j.properties.sample a custom-log.properties en el directorio /opt/alfresco-community/tomcat/shared/classes/alfresco/extension e incluir algunas líneas como las siguientes.

log4j.rootLogger=error, Console, File, Auth

log4j.logger.org.alfresco.fileserver=debug
log4j.logger.org.alfresco.filesys.auth.cifs=debug‍‍‍‍

Tendrás que re-iniciar Alfresco para que aplique los cambios.

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Mon, 05 Nov 2018 12:09:33 GMT

He configurado custom-log.properties como me comentas y continúa sin aparecerme más nivel de log, sólo me aparece el mensaje de error que comentaba al principio.

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Mon, 05 Nov 2018 13:23:18 GMT

He añadido las líneas que me comentabas en log4j.properties directamente y ahora me aparece un mensaje más (aunque sigue siendo poca información):

2018-11-05 14:19:25,210 ERROR [org.alfresco.filesys.auth.cifs.PassthruCifsAuthenticator] [AlfJLANWorker12] org.alfresco.jlan.smb.SMBException: Invalid parameter
2018-11-05 14:19:25,210 DEBUG [org.alfresco.filesys.auth.cifs.PassthruCifsAuthenticator] [AlfJLANWorker12] Returning SMBSrvException to JLAN
org.alfresco.jlan.smb.server.SMBSrvException: Access denied
        at org.alfresco.jlan.server.auth.CifsAuthenticator.processSessionSetup(CifsAuthenticator.java:543)
        at org.alfresco.filesys.auth.cifs.PassthruCifsAuthenticator.processAlfrescoSessionSetup(PassthruCifsAuthenticator.java:558)
        at org.alfresco.filesys.auth.cifs.PassthruCifsAuthenticator.processSessionSetup(PassthruCifsAuthenticator.java:494)
        at sun.reflect.GeneratedMethodAccessor478.invoke(Unknown Source)
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
        at java.lang.reflect.Method.invoke(Method.java:498)
        at org.alfresco.repo.management.subsystems.ChainingSubsystemProxyFactory$1.invoke(ChainingSubsystemProxyFactory.java:119)
        at org.springframework.aop.framework.ReflectiveMethodInvocation.proceed(ReflectiveMethodInvocation.java:172)
        at org.springframework.aop.framework.JdkDynamicAopProxy.invoke(JdkDynamicAopProxy.java:204)
        at com.sun.proxy.$Proxy217.processSessionSetup(Unknown Source)
        at org.alfresco.jlan.smb.server.NTProtocolHandler.procSessionSetup(NTProtocolHandler.java:417)
        at org.alfresco.jlan.smb.server.NTProtocolHandler.runProtocol(NTProtocolHandler.java:223)
        at org.alfresco.jlan.smb.server.SMBSrvSession.processPacket(SMBSrvSession.java:1492)
        at org.alfresco.jlan.smb.server.nio.NIOCIFSThreadRequest.runRequest(NIOCIFSThreadRequest.java:149)
        at org.alfresco.jlan.server.thread.ThreadRequestPool$ThreadWorker.run(ThreadRequestPool.java:153)
        at java.lang.Thread.run(Thread.java:748)

Gracias

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Mon, 05 Nov 2018 17:07:50 GMT

He comprobado que conectándome desde Debian (donde está instalado alfresco) mediante smb://IP_Alfresco/alfresco, me permite conectarme, sin embargo, desde Windows utilizo \\IP_Alfresco\alfresco y me da error en la autenticación. ¿Existe alguna diferencia entre el acceso desde Linux (smb://) y desde Windows (\\)?

Gracias

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

angelborroy — Tue, 06 Nov 2018 08:22:52 GMT

Quizá no tengas abiertos los puertos de CIFS en el firewall de Debian:

UDP 137, 138
TCP 445, 139

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Tue, 06 Nov 2018 08:57:07 GMT

Tengo habilitado todo el tráfico por defecto para que no haya ese tipo de problemas. Para poder conectarme con Samba con Linux he tenido que deshabilitar de /etc/samba/smb.conf NTLM v2 y spnego:

...

client NTLMv2 auth = no

client use spnego = no (esto no afecta si lo cambio a yes)

...

No sé si hay alguna opción en Windows parecida para deshabilitar esas opciones.

Gracias

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

angelborroy — Tue, 06 Nov 2018 09:02:21 GMT

Prueba a configurar en el menú "Configuración de Seguridad > Opciones de seguridad" la directiva "Seguridad de red: nivel de autenticación de LAN Manager" a la opción "Enviar LM y NTLM: usar seguridad de sesión NTLMv2 si se negocia"

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Tue, 06 Nov 2018 09:14:09 GMT

Eso fue lo primero que configuré pero sigue sin funcionar. He comprobado con Wireshark, con los dos sistemas operativos (Linux, en una máquina virtual y Windows) en la misma máquina, y la petición de autenticación se realiza de distinta forma:

La primera, se corresponde con la petición en Windows (Session Setup AndX Request, User: AYUNTAMIENTO\Pepe; Tree Connect AndX, Path: \\172.16.103.30\IPC$), que se realiza todo junto y como resultado obtiene STATUS_LOGO_FAILURE.

Sin embargo, la petición de Linux se realiza de forma distinta. Primero utiliza Session Setup AndX Request, User: Ayuntamiento\Pepe y tras la respuesta del servidor, utiliza Tree Connect AndX Request, Path: \\172.16.103.30\ALFRESCO. Esta última funciona correctamente.

Re: Error al autenticar mediante CIFS usuarios de Active Directory Alfresco

sergiorg96 — Tue, 20 Nov 2018 13:27:23 GMT

He solucionado el problema, escribo para el que le pase lo mismo que a mi le sirva. He tenido que configurar en los clientes la directiva local de seguridad que comentaba Angel Borroy: "Configuración de Seguridad > Opciones de seguridad", "Seguridad de red: nivel de autenticación de LAN Manager", la opción "Enviar LM y NTLM: usar seguridad de sesión NTLMv2 si se negocia". El problema era que estaba configurado en el Controlador de Dominio, pero las peticiones de los clientes forzaba a NTLMv2.