Linuxclient: kein Login möglich

N’Abend,

wir haben bei uns gerade wieder mal ein äußerst seltsames Problem. Auf den Linuxclients ist kein Login mehr möglich.

Hintergrund: das war im letzten Schuljahr schon hin und wieder der Fall, hier hat’s geholfen, den Client einfach aus der Domäne rauszunehmen und neu hinzuzufügen.

Jetzt allerdings ist es etwas seltsamer:

  • Kein login möglich (lightdm zeigt „Zugangsdaten falsch“ an)
  • sssd meldet den Fehler „Preuthentication failed“
  • linuxmuster-cloop-turnkey oder linuxmuster-client-adsso-setup um den Client neu aufzunehmen (was ist denn genau der Unterschied zwischen den beiden Befehlen?)
  • sssd neu starten
  • Anmeldung „funktioniert“, es erscheint ein anderer Fehler
  • ad_gpo_access_control = permissive in die /etc/sssd/sssd.conf eingefügt (Irgendwas scheint doch da schon nicht zu passen, wenn dieser Eintrag nötig ist, oder?)
  • Anmeldung funktioniert
  • ad_gpo_access_control = permissive in die /usr/share/linuxmuster-client-adsso/templates/sssd.conf eingefügt, dass es auch nach einer Neuaufnahme in die Domäne erhalten bleibt.
  • Neustart des Clients
  • Anmeldung funktioniert nicht mehr! → „Preauthentication failed“…

Hat jemand irgendeine Idee, woran das liegen könnte? :thinking: Das wirklich komische ist ja, dass selbst nach einem einfachen Neustart die Anmeldung nicht mehr funktioniert… Dadurch kann ich daraus natürlich auch kein Image erstellen und verteilen. (Aktuell sind also alle Computer quasi unbrauchbar…)

Grüße und Danke
Alex

Hallo Alex,
hast Du schonmal das Image von Holger probiert? Mit dem neuen linuxmuster-linuxclient7-Paket? Das funktioniert und ist wohl die aktuelle Methode für Linuxclients.
LG
Max

Hallo Max,

du meinst das offizielle Linuxmint-Image? Ja, unser Image basiert darauf! Also wir haben dieses Image in den letzten Sommerferien genommen (also kurz nachdem LMNv7 veröffentlicht wurde) und davon ausgehend halt unsere Programme installiert und Einstellungen gemacht. Oder gibt es seither nochmal ein neueres Image?

Grüße
Alex

Hi,
es gibt ein neues von Holger (normales Ubuntu), sein Nextcloud-Link ist hier im Forum zu finden. Ich such, wenn ichs schnell finde, schreib ichs hier.

Edith:

LG Max

Danke dir!

ich hab jetzt zuerst mal das neue linuxmuster-linuxclient7-Paket installiert und das setup damit durchlaufen lassen. Da erscheint am Ende die Meldung:

================================================================================
IMPORTANT:
1. For the domain join to work, you will have to create a new image IMMEDIATELY!
   If you restart the client without creating an image, the domain join WILL BREAK!
2. The domain join is bound to THIS COMPUTER! If you delete or rename it in your
   devices list, the domain join will break on ALL COMPUTERS using this image!
Please reboot and create a new image now.
================================================================================

Eventuell lag es ja auch einfach an Punkt 1, dass man nach dem rejoin eben kein Neustart machen darf… :see_no_evil: (rein interessehalber: warum ist das so? Was ändert sich durch einen Neustart?)
Punkt 2 ist, dass jeder Computer das selbe Maschinenpasswort nutzen kann? Oder was hat das für einen Hintergrund?

Wenn das auch nichts hilft, dann werde ich mal das neue Image ausprobieren, allerdings ist das zum einen ja Ubuntu und kein Mint mehr (welchen Desktop verwendet das Image?) und zum anderen müssten wir sämtliche Anpassungen wieder in das Image einpflegen, was ein riesen Aufwand bedeuten würde…

Danke und Grüße
Alex

Bei einem Neustart wird das Maschinen Passwort im AD von Linbo zurückgesetzt. Dadzrch hat der Rechner keinen Zugriff mehr aufs AD.

Ist ein bisschen kompliziert, aber inzwischen nicht mehr relevent. Ich sollte den Hinweis entfernen.

VG, Dorian

Hej,
wir haben hier das gleiche Problem - wir wollten eigentlich strukturiert auf den neuen Linuxclient umsteigen. Sonntag Abend hat dann aber (nach einem kleinen Update) die Anmeldung an unserem alten linuxmuster-client-adsso-Client nicht mehr funktioniert.

Rückspielen des Imagebackups (incl. macct-Datei) hat ebenso das Problem nicht behoben, wie erneute Aufnahme des Imagesmasters mit linuxmuster-cloop-turnkey oder linuxmuster-client-adsso-setup + neues Image.

Anfänglich habe ich das update für den Vollausfall verantwortlich gemacht, aber dann habe ich gesehen, dass auch bei einem anderen linuxmuster-client-adsso-Client (Hatten wir für die Migration vorbereitet. Mit eigener Gruppe, eigener start.conf, eigenem cloop/macct) die Anmeldung nicht mehr funktioniert.
Hängt also wohl nicht am Client-Image/macct - Irgendwas muss da auf dem Server anders sein als vor Sonntag Abend.

Letztlich mussten wir auch überhastet auf den linuxmuster-linuxclient7 umsteigen. Haben den nun weitestgehend unangepasst und ohne Hinweise zu Veränderungen unters Volk geworfen. Das ist nicht schön - mich würde schon interessieren, was da los ist. Ich verstehe es einfach nicht.

Die Frage, die mich (und vermutlich auch @dsjiern) noch mehr interessiert: Können wir unseren alten Client migrieren, auch wenn die AD-Anmeldung nicht geht? Die AD-Anbindung wird bei der Migration doch eh erst mal gelöscht und dann linuxmuster-linuxclient7-Style neu angelegt, oder?

Grüße
Michael

Hi Michael,
ja, das kannst Du, anleitung dazu hier im Forum oder ich glaube auch auf der github-seite von linuxmuster-linuxclient7.
LG
Max

Hallo,

ich hab auch meine alten Clients migriert.
Doku ist hier:

LG

Holger

Hallo,

Da habe ich mir ehrlich gesagt gar keine Gedanken dazu gemacht :sweat_smile:

Ich bin gestern einfach hingegangen, hab das linuxmuster-linuxclient7-Paket installiert* (dabei wurde das adsso-Paket deinstalliert/ersetzt) und dann einmal linuxmuster-linuxclient7 setup und anschließend linuxmuster-linuxclient7 prepare-image, dann beim Neustart direkt das Image gezogen → funktioniert :partying_face:
(* dazu einfach das Repository hinzufügen, s. Linux-Client installieren — linuxmuster.net 7.0 Dokumentation)

Was sollte man sonst noch migrieren müssen? :thinking:

Vielen Dank soweit mal, jetzt können die Lehrer wieder an die Computer :+1:

.

Eine kleine Frage hätte ich allerdings noch: das neue Skript lädt jetzt automatisch auch die GPOs und mounted die Netzlaufwerke nach /home/USER/media. Wo kann man die Netzlaufwerke komplett deaktivieren? Muss ich da über einen Windows-Client in die AD-GPOs rein oder geht das auch irgendwie einfacher? („einfacher“, weil wir aktuell keinen Windows-Client mehr haben…)

Hintergrund ist der, dass wir ausschließlich unsere (extern gehostete) Nextcloud nutzen und diese schon automatisch mounten lassen. Dort haben wir auch Tausch-Ordner, die sich automatisch mit dem LDAP synchronisieren. Wenn da dann zwei Orte angezeigt werden, dann weiß ich schon, dass einige meiner Kollegen (und Schüler) Probleme haben, bzw. das was sie in der Schule abgespeichert haben zu Hause nicht mehr in ihrer Nextcloud finden :see_no_evil:

Viele Grüße
Alex

Hallo Alex,

schau dir den Tread an, da steht es wie man die Laufwerke abschaltet:

LG

Holger

Hallo miteinander,
sieht der Fehler zufällig so aus oder bin ich auf ein anderes Problem gestoßen?


Wenn ich bei unserem Musterclient prepare-image ausführe und direkt danach ein Update mache, kann ich mich danach zwar als normaler Nutzer anmelden, aber dann kommt diese Fehlermeldung und ich hab keinen Zugriff auf die Home-Verzeichnisse.
Melde ich mich aber als linuxadmin an, meldet linuxmuster-linuxclient7 status, dass mit der Domäne alles in Ordnung sei.

Werde das Cloop (mal wieder) zurücksetzen…

Liebe Grüße,

Wolfgang

Hallo Wolfgang,

diese Fahlermeldung kommt nicht vom linuxclient7. Was für Dateien befinden sich in /etc/profile.d?

VG, Dorian

So, zu früh gefreut: 2 Tage hat’s problemlos funktioniert auf allen PCs, jetzt seit heute wieder ohne dass wir irgendwas verändert haben wieder das selbe Problem :face_with_symbols_over_mouth:

Wie kann es bitte sein, dass es urplötzlich nach 2 Tagen wieder nicht funktioniert? Wo ist da der Fehler? Zumal auf ca. der Hälfte der PCs funktioniert es noch, auf der anderen Hälfte nicht mehr…

Wieder selbe Fehlermeldung:
failed to initialize credentials using keytab [MEMORY:/etc/krb5.keytab]: Preauthentication failed

Wir haben in der Zwischenzeit kein neues Image gemacht…

Jemand eine Idee??

Grüße
Alex

Hallo Alex,

Verwendest du ein besonderes Zertifikat mit Samba ?
Man kann es mit grep tls /etc/samba/smb.conf sehen.

Gruß

Arnaud

Hallo Alex,

wie oft wurde den schon auf die Systemzeit hingewiesen und ihre Differenz zu der des Servers?
Mich wundert, dass in deinem Post nicht drin steht: „An der Systemzeit kann es nicht liegen: die habe ich geprüft“
Deswegen bleibt mir nur die Bemerkung: wie steht es den mit der Systemzeit?

LG

Holger

Hallo Holger!

Nur dreimal und zwar in deinem Post. Bevor ich den gelesen hatte, kam mir der gleiche Gedanke.

Ich überlege ob wir nicht irgendwie eine Standard-Antwort setzen können.

Beste Grüße

Thorsten

Hallo Holger,

Serverzeit und Cleintzeit haben eine Differenz von 0 Sekunden…

daran kann es also nicht liegen.

Viele Grüße
Alex

Hallo Arnaud,

nein, alles Standard:

tls enabled = yes
tls keyfile = /etc/linuxmuster/ssl/server.key.pem
tls certfile = /etc/linuxmuster/ssl/server.cert.pem
tls cafile = /etc/linuxmuster/ssl/cacert.pem
tls verify peer = ca_and_name

Grüße
Alex

Hallo Alex,

ohne, dass ich eine Lösung hätte … aber mich beruhigt Deine Fehlerbeschreibung, denn sie zeigt mir, dass ich mit dem Problem nicht alleine bin!!! Wir haben das Problem ja auch und helfen uns zur Zeit so, dass alle Clients immer synchronisiert starten. Dadurch „verlieren“ wir zwar eine Minute oder so beim Systemstart – dafür funktioniert die Anmeldung überall. Damit können die Kollegen immerhin arbeiten; auch wenn der Systemstart langsamer läuft als bisher.

Warum es vorher immer und immer wieder zu dem gleichen Phänomen kam, konnte ich nicht ermitteln. Die Zeit war bei uns jedenfalls ebenfalls synchron – zudem hatte ich extra noch ein zusätzliches „ntpdate -s 10.16.1.1“ eingebaut, um das auch wirklich vor der Anmeldung zu garantieren… geholfen hat es aber nichts! Daher gehe ich auch davon aus, dass das Problem tiefer liegt … nur wo?

Viele Grüße,
Michael