内网KDC服务器开放在哪个端口，针对kerbores的攻击有哪些?

<think>我们正在处理一个关于Kerberos配置的问题。用户询问在非MRS节点上配置krb5.conf时如何确定KDC服务器地址。根据引用[1]中的内容，我们知道Kerberos服务器（即KDC服务器）的地址是配置Kerberos客户端所必需的。 引用[1]提到：“将kerberos server的ip和主机名映射加到clickhouse的所有节点的hosts文件中。如果kerberos server的防火墙是开启的，将kerberos server的tcp 88和udp 88的端口访问权限开放给clickhouse的所有节点。” 这里虽然没有直接给出KDC服务器的地址，但我们可以推断出KDC服务器就是Kerberos server。 在华为云MRS集群中，Kerberos服务通常部署在集群的管理节点上。具体来说，KDC服务器通常位于集群的Master节点上。 因此，确定KDC服务器地址的方法如下： 1. 登录到MRS集群的管理控制台。 2. 查看集群的节点信息，特别是Master节点的IP地址（或主机名）。 3. 通常，KDC服务就运行在Master节点上，所以Master节点的IP地址就是KDC服务器的地址。 另外，引用[1]还提到需要将Kerberos server的主机名和IP地址映射添加到客户端的hosts文件中，并且开放Kerberos server的88端口（TCP和UDP）的访问权限。 所以，在非MRS节点（即客户端节点）上配置krb5.conf时，我们需要在配置文件中指定KDC服务器的地址。具体配置示例： ``` [libdefaults] default_realm = HADOOP.HUAWEI [realms] HADOOP.HUAWEI = { kdc = master1_ip:88 kdc = master2_ip:88 admin_server = master1_ip:749 default_domain = hadoop.huawei } [domain_realm] .hadoop.huawei = HADOOP.HUAWEI hadoop.huawei = HADOOP.HUAWEI ``` 注意：这里需要替换`master1_ip`和`master2_ip`为实际的Master节点的IP地址（如果集群有多个Master节点，则可能有多个KDC服务器，用于高可用）。 如果用户无法从控制台获取，还可以通过以下方式之一确定KDC服务器地址： - 在MRS集群的任意节点上，查看`/etc/krb5.conf`文件，其中会明确列出KDC服务器的地址。 - 询问MRS集群的管理员，获取KDC服务器的地址。 因此，总结步骤： 步骤1：获取MRS集群的Master节点IP地址。 步骤2：在非MRS节点上配置krb5.conf文件，将KDC服务器地址设置为Master节点的IP地址（或主机名，但需要确保主机名可解析）。 注意：华为云MRS集群的Kerberos域名固定为`HADOOP.HUAWEI`，不可更改。 引用[2]展示了两个不同域之间的Kerberos互信配置，但我们的场景是同一个域（HADOOP.HUAWEI）内，所以不需要跨域配置。 引用[3]是关于Spark集群和Livy的安装，与当前问题无关。 因此，回答如下：</think>### 在非MRS节点上确定KDC服务器地址的方法 #### 一、通过MRS控制台查询（推荐方式） 1. **登录华为云控制台** ```bash # 访问路径 华为云控制台 > 大数据 > MapReduce服务 (MRS) > 目标集群 ``` 2. **查看集群网络信息** - 在集群详情页选择 **节点管理** - 记录所有 **Master节点** 的IP地址（KDC通常部署在Master节点） - 检查 **安全组规则**：确认88端口（TCP/UDP）开放[^1] 3. **获取完整KDC地址格式** ```bash # 标准格式 kdc = <master_ip>:88 admin_server = <master_ip>:749 ``` #### 二、通过集群配置文件查询 1. **登录MRS集群任意节点** ```bash ssh mrs_admin@<集群节点IP> ``` 2. **查看krb5.conf文件** ```bash # 定位配置文件 cat /etc/krb5.conf # 关键输出示例 [realms] HADOOP.HUAWEI = { kdc = 192.168.1.10:88 kdc = 192.168.1.11:88 # 多KDC高可用 admin_server = 192.168.1.10:749 } ``` > 记录`kdc`和`admin_server`字段的IP地址[^1] #### 三、通过DNS或主机名解析 1. **查询Kerberos服务域名** ```bash # 在MRS节点执行 sudo grep -r "KERBEROS_SERVER" /etc/BigData/* ``` 2. **解析主机名** ```bash # 若输出类似"krbserver.hadoop.huawei" nslookup krbserver.hadoop.huawei # 返回IP列表即为KDC地址 ``` #### 四、验证KDC连通性 ```bash # 在非MRS节点测试连接 telnet <KDC_IP> 88 # 应返回Connected nc -vzu <KDC_IP> 88 # UDP端口测试 # 完整连通性检查 kinit -V -S kadmin/<KDC_IP>@HADOOP.HUAWEI ``` > 成功返回：`Authenticated to Kerberos v5` #### 五、配置krb5.conf示例 ```conf # /etc/krb5.conf [libdefaults] default_realm = HADOOP.HUAWEI [realms] HADOOP.HUAWEI = { kdc = 192.168.1.10:88 kdc = 192.168.1.11:88 admin_server = 192.168.1.10:749 } [domain_realm] .hadoop.huawei = HADOOP.HUAWEI hadoop.huawei = HADOOP.HUAWEI ``` #### 注意事项 1. **域名强制要求** - 必须使用`HADOOP.HUAWEI`作为realm名[^1] - 主机名需包含完整域名后缀（如`node1.hadoop.huawei`） 2. **高可用配置** - 生产环境通常有多个KDC - 在`krb5.conf`中配置多个`kdc`地址实现故障转移 3. **防火墙规则** ```bash # 开放非MRS节点到KDC的访问 # TCP/UDP 88 (Kerberos) # TCP 749 (Kadmin) # TCP 464 (kpasswd) ``` 4. **主机名解析** ```bash # 在非MRS节点添加hosts映射 echo "<KDC_IP> krbserver.hadoop.huawei" >> /etc/hosts ``` > **故障排查**：若`kinit`失败，使用`KRB5_TRACE=/dev/stdout kinit`查看详细认证过程。 ---