# Client auf Basis von Debian 13? **URL:** \ **Category:** Uncategorized\ **Tags:** linuxclient\ **Created:** [29. August 2025 um 20:39 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817 "2025-08-29T20:39:49Z")\ **Posts on this page:** 20\ **Page:** 2
**Author:** ![Buster](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/41988e/32.png) [@Buster](https://ask.linuxmuster.net/u/Buster)\ **Post date:** [13. Oktober 2025 um 20:55 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/21 "2025-10-13T20:55:39Z")
Hi, ich kenne die Details der Implementation der beiden Linux-Clients (`net ads` und `realm`) und -Servers (`samba`) für das AD nicht, daher ist das mal ein Schuss ins Blaue: Microsoft hat seine Implementation in Windows Client und Server dahingehend geändert, dass der Nutzer, der im Active Directory das Computerobjekt erstellt identisch sein muss mit dem Nutzer, der den Client in die Domäne aufnimmt. Da die Vertrauensstellung, die bei Aufnahme des Rechners hergestellt wird, aber auch nur eine Kombination von Zugangsdaten (Passwort und Benutzername in Form von Computername$) ist, die auf beiden Seiten (Client/Server) gleichermaßen hinterlegt sein muss, kann es auch sein, dass das hier keine Rolle spielt. VG Buster ---
**Author:** ![Arnaud](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/arnaud/32/28_2.png) [@Arnaud](https://ask.linuxmuster.net/u/Arnaud)\ **Post date:** [14. Oktober 2025 um 04:18 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/22 "2025-10-14T04:18:55Z")
Hi, @rettich : es fehlen noch die Argumente für `ldapsearch`, so kann es nicht funktionieren … Etwas wie: ```auto ldapsearch -x -H ldaps://server.linuxmuster.lan:636 -LLL "sAMAccountName=EINUSER" -b 'DC=linuxmuster,DC=lan' -D 'CN=EINLEHRER,OU=Teachers,OU=default-school,OU=SCHOOLS,DC=linuxmuster,DC=lan' -W cn ``` Gruß Arnaud ---
**Author:** ![rettich](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/rettich/32/52_2.png) [@rettich](https://ask.linuxmuster.net/u/rettich)\ **Post date:** [14. Oktober 2025 um 05:50 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/23 "2025-10-14T05:50:15Z")
@Arnaud : Vielen Dank … ---
**Author:** ![Blair](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/c37758/32.png) [@Blair](https://ask.linuxmuster.net/u/Blair)\ **Post date:** [14. Oktober 2025 um 10:24 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/24 "2025-10-14T10:24:28Z")
Hallo, auch ein Schuss ins Blaue. Sind net ads und realm nicht zwei verschiedene Sachen? Nutz realm nicht sssd und realm kommt von Samba und braucht eine eigene Konfiguration? Da decken sich weite Teile, aber identisch ist das nicht. > root@multi-1:~# net ads info > LDAP server: 10.0.0.1 > LDAP server name: server.linuxmuster.lan > Workgroup: LINUXMUSTER > Realm: LINUXMUSTER.LAN > Bind Path: dc=LINUXMUSTER,dc=LAN > LDAP port: 389 > Server time: Mo, 13 Okt 2025 20:10:05 CEST > KDC server: 10.0.0.1 > Server time offset: 0 > Last machine account password change: Do, 01 Jan 1970 01:00:00 CET Also net ads hat das Maschinenpasswort nie erhalten und daher auch kein Kerberos Ticket. Vergleicht doch mal /etc/krb5.conf /etc/samba/smb.conf in Ubuntu und Debian nach Durchlauf des linuxmuster-linuxclient7 Skripts. Viele Grüße Christian ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [14. Oktober 2025 um 12:21 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/25 "2025-10-14T12:21:46Z")
Moin! `net ads` benötigt einen user und die workgroup. Wenn der `realm` Eintrag in smb.conf gemacht wurde, klappt die Authentifizierung gegen das samba ad: ```auto root@multi-1:~# net -U zell%' *****' -W LINUXMUSTER ads status objectClass: top objectClass: person objectClass: organizationalPerson objectClass: user objectClass: computer userAccountControl: 4096 objectSid: S-1-5-21-221477971-3326973540-1634130914-1219 sAMAccountName: MULTI-1$ servicePrincipalName: HOST/MULTI-1.linuxmuster.lan servicePrincipalName: RestrictedKrbHost/MULTI-1.linuxmuster.lan servicePrincipalName: HOST/MULTI-1 servicePrincipalName: RestrictedKrbHost/MULTI-1 dNSHostName: multi-1.linuxmuster.lan msDS-SupportedEncryptionTypes: 28 msDS-KeyVersionNumber: 5 ``` Anmeldung lokal gegen pam schlägt aber fehl: ```auto root@multi-1:~# pamtester gdm zell authenticate Password: pamtester: Authentication failure ``` Das Problem steckt also in dem ganzen pam-sss-Geraffel, das wohl in Trixie irgendwie anders konfiguriert werden muss. At least one step further … VG, Thomas ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [14. Oktober 2025 um 17:50 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/26 "2025-10-14T17:50:01Z")
Moin! Es fehlt das pam-Modul für kerberos, also fix `libpam-krb5` installiert, dann gehts mit Trixie! VG, Thomas ---
**Author:** ![rettich](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/rettich/32/52_2.png) [@rettich](https://ask.linuxmuster.net/u/rettich)\ **Post date:** [14. Oktober 2025 um 20:26 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/27 "2025-10-14T20:26:50Z")
Hallo Thomas, > [@thomas](#): > > Es fehlt das pam-Modul für kerberos, also fix `libpam-krb5` installiert, dann gehts mit Trixie! Super!!! Vielen Dank Mathias ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [15. Oktober 2025 um 08:38 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/28 "2025-10-15T08:38:30Z")
Hallo Mathias, zu früh gefreut. Funktioniert bisher leider nur mit dem Client, mit dem das Image gemacht wurde. ☹ Auf dem gesyncten Client in `/var/log/auth.log`: ```auto 2025-10-15T10:33:52.576252+02:00 multi-2 pamtester: pam_krb5(gdm3:auth): (user zell) credential verification failed: Cannot find key for host/multi-2.linuxmuster.lan@LINUXMUSTER.LAN kvno 6 in keytab ``` Also weiterforschen. VG, Thomas ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [15. Oktober 2025 um 08:50 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/29 "2025-10-15T08:50:11Z")
Moin! ```auto ~# klist -k Keytab name: FILE:/etc/krb5.keytab KVNO Principal ---- -------------------------------------------------------------------------- 9 MULTI-2$@LINUXMUSTER.LAN 9 MULTI-2$@LINUXMUSTER.LAN 9 MULTI-2$@LINUXMUSTER.LAN 9 host/MULTI-2@LINUXMUSTER.LAN 9 host/MULTI-2@LINUXMUSTER.LAN 9 host/MULTI-2@LINUXMUSTER.LAN 9 host/multi-2.linuxmuster.lan@LINUXMUSTER.LAN 9 host/multi-2.linuxmuster.lan@LINUXMUSTER.LAN 9 host/multi-2.linuxmuster.lan@LINUXMUSTER.LAN 9 RestrictedKrbHost/MULTI-2@LINUXMUSTER.LAN 9 RestrictedKrbHost/MULTI-2@LINUXMUSTER.LAN 9 RestrictedKrbHost/MULTI-2@LINUXMUSTER.LAN 9 RestrictedKrbHost/multi-2.linuxmuster.lan@LINUXMUSTER.LAN 9 RestrictedKrbHost/multi-2.linuxmuster.lan@LINUXMUSTER.LAN 9 RestrictedKrbHost/multi-2.linuxmuster.lan@LINUXMUSTER.LAN ``` pam\_krb5 sucht den hostkey mit kvno 6, während es im keytab den hostkey mit kvno 9 gibt. VG, Thomas ---
**Author:** ![Arnaud](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/arnaud/32/28_2.png) [@Arnaud](https://ask.linuxmuster.net/u/Arnaud)\ **Post date:** [15. Oktober 2025 um 09:01 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/30 "2025-10-15T09:01:09Z")
Hi @thomas > - `krb5_validate` is set to `False`. This is necessary because the KVNO in `/etc/krb5.keytab` might not match the `msDS-KeyVersionNumber` in the AD which will lead to SSSD errors when `krb5_validate` is set to `True` > **[Domain join](https://github.com/linuxmuster/linuxmuster-linuxclient7/wiki/Domain-join)** > > The new approach on connecting linuxclients to the Linuxmuster.net v7 Active Directory server. - linuxmuster/linuxmuster-linuxclient7 Ist es der Fall in `sssd.conf` ? Gruß Arnaud ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [15. Oktober 2025 um 09:20 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/31 "2025-10-15T09:20:38Z")
Hallo Arnaud, denke nicht, `krb5_validate` ist ja auf `False` gesetzt, Wechsel auf `True` ändert nichts. VG, Thomas ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [15. Oktober 2025 um 15:09 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/32 "2025-10-15T15:09:59Z")
Moin! So langsam kommt Licht ins dunkel. Auf dem gesyncten Client muss die krb5.keytab geflusht werden. Bitte mal so nachvollziehen: 1. Auf Masterclient `libpam-krb5` installieren. 2. In `/usr/share/linuxmuster-linuxclient7/templates/smb.conf` die Zeile `realm = @@realm@@` ergänzen. 3. Domänenbeitritt: `linuxmuster-linuxclient7 setup` 4. pam updaten: `pam-auth-update`, Konfiguration mit `OK` bestätigen. 5. Image erstellen. 6. Masterclient syncen und Login testen. 7. Zweiten Client syncen. 8. Vor dem User-Login als `root` auf der Konsole `net ads keytab flush` ausführen. 9. User-Login auf dem zweiten Client testen. VG, Thomas ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [15. Oktober 2025 um 16:35 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/33 "2025-10-15T16:35:14Z")
Ergänzung: Falls weitere Logins auf dem zweiten Client fehlschlagen, muss bei Schritt 8 noch ein `net ads keytab create` hinterhergeschickt werden. ---
**Author:** ![rettich](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/rettich/32/52_2.png) [@rettich](https://ask.linuxmuster.net/u/rettich)\ **Post date:** [15. Oktober 2025 um 21:41 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/34 "2025-10-15T21:41:00Z")
Hallo Thomas, ich hab’s ausprobiert. Mit `net ads keytab flush` läuft die Anmeldung. `net ads keytab create` war nicht nötig. Allerdings muss man das nach dem Syncen immer machen. Naja, dafür gibt’s ja `/etc/linuxmuster-linuxclient7/onBoot.d/test.sh`… Was leider so nicht geklappt hat (Weder mit `net ads keytab create` noch ohne `net ads keytab create`)?!? Gruß Mathias ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [16. Oktober 2025 um 07:02 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/35 "2025-10-16T07:02:53Z")
Hallo Mathias, hast du, wenn du den Eintrag in der onBoot.d hast, mal 3 Minuten nach dem Hochfahren gewartet? Vielleicht ist der onBoot Auftrag einfach ein wenig später. Ansonsten: kannst du dein script, wie es im Verzeichnis onBoot.d liegt, mal posten? Steht was in den logs bezüglich des scripts? Vielleicht steht da warum das nicht geht … LG Holger ---
**Author:** ![rettich](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/rettich/32/52_2.png) [@rettich](https://ask.linuxmuster.net/u/rettich)\ **Post date:** [16. Oktober 2025 um 10:01 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/36 "2025-10-16T10:01:07Z")
Hallo zusammen, > [@baumhof](#): > > hast du, wenn du den Eintrag in der onBoot.d hast, mal 3 Minuten nach dem Hochfahren gewartet? Vielleicht ist der onBoot Auftrag einfach ein wenig später. ```auto #!/bin/bash /usr/bin/net ads keytab flush ``` Gruß Mathias ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [16. Oktober 2025 um 10:15 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/37 "2025-10-16T10:15:53Z")
Moin! Sieht so aus, dass man flush und create nach jedem Sync machen muss. Die onBoot-Skripte werden vor dem Start des sssd-Dienstes ausgeführt. Evtl. ist das ein Problem. Mann, das ist echt ein sch… VG, Thomas ---
**Author:** ![rettich](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/rettich/32/52_2.png) [@rettich](https://ask.linuxmuster.net/u/rettich)\ **Post date:** [16. Oktober 2025 um 14:23 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/38 "2025-10-16T14:23:06Z")
Hallo Thomas, > [@thomas](#): > > Sieht so aus, dass man flush und create nach jedem Sync machen muss. Die onBoot-Skripte werden vor dem Start des sssd-Dienstes ausgeführt. Evtl. ist das ein Problem. Ich befürchte, das ist es nicht. Ich hab mich als root auf dem Client angemeldet und `net ads keytab flush` und `net ads keytab create` ausgeführt. Bei Clients, bei denen einmal die Anmeldung fehlschlug kann sich danach immernochniemnad anmelden. Auch nicht nach einem Neustart ☹ Gruß Mathias ---
**Author:** ![thomas](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/thomas/32/1530_2.png) [@thomas](https://ask.linuxmuster.net/u/thomas)\ **Post date:** [16. Oktober 2025 um 14:44 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/39 "2025-10-16T14:44:04Z")
Ja, das funktioniert so nur nach einem Sync. Also weiterforschen (sic!). ---
**Author:** ![rettich](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/rettich/32/52_2.png) [@rettich](https://ask.linuxmuster.net/u/rettich)\ **Post date:** [17. Oktober 2025 um 08:22 UTC](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817/40 "2025-10-17T08:22:51Z")
Hallo zusammen, ich hab in `/etc/linuxmuster-linuxclient7/onBoot.d` das Script 20\_VorAnmeldung.sh mit folgendem Inhalt abgelegt: ```auto #!/bin/bash /usr/bin/net ads keytab flush /usr/bin/sleep 10 ``` Damit läuft’s bisher… Ich geb’s zu, es ist nicht schön… Gruß Mathias [Vorherige Seite](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817.md?page=1) [Nächste Seite](https://ask.linuxmuster.net/t/client-auf-basis-von-debian-13/11817.md?page=3)