Por que o Internet Explorer continua me solicitando credenciais NTLM em uma zona da intranet?


23

Texto longo, desculpe por isso. Estou tentando ser o mais específico possível.

Estou no Windows 7 e sinto um comportamento muito frustrante do Internet Explorer 8. Estou em uma LAN da empresa com alguns servidores de intranet e um proxy para conexão com o mundo exterior.

Em sites que são claramente reconhecidos como "Intranet local" (como indicado na barra de status do IE), continuo recebendo caixas de diálogo "Segurança do Windows" que solicitam o login. Essas páginas são exibidas em um IIS6 com "Segurança Integrada do Windows" ativado, o NTFS permite a todos: leia os próprios arquivos.

  • Se eu inserir minhas credenciais do Windows, a página carregará bem. No entanto , as caixas de diálogo serão exibidas na próxima vez, independentemente de eu ter marcado "Lembrar minhas credenciais" ou não. (As credenciais são armazenadas no "Credential Manager", mas isso não faz diferença quanto à frequência com que essas caixas de logon aparecem.)
  • Se eu clicar em "Cancelar", uma das duas coisas pode acontecer: A página é carregada com alguns recursos ausentes (imagens, folhas de estilo etc.) ou não é carregada e recebo o HTTP 401.2 (Não autorizado: falha no logon devido ao servidor Configuração). Isso depende se a caixa de logon foi acionada pela própria página ou por um recurso referenciado.
  • O comportamento parece ser completamente irregular, às vezes as páginas são carregadas sem problemas, às vezes um recurso aciona uma mensagem de logon, às vezes não. Mesmo simplesmente recarregar a página pode resultar em comportamento alterado.

Estou usando o WPAD como meu mecanismo de detecção de proxy. Todos os hosts da Intranet ignoram o proxy no arquivo PAC.

Eu verifiquei todas as configurações do IE em que consigo pensar, inseri padrões de host, nomes de host individuais, intervalos de IP em todas as configurações possíveis na zona "Intranet local", assinalei "Incluir todos os sites que ignoram o servidor proxy", o nome dele. Tudo se resume a "às vezes simplesmente não funciona", e lentamente estou perdendo a cabeça. ;-)

Estou ciente de que isso está relacionado ao IE, não passando automaticamente minhas credenciais NTLM para o servidor da Web, mas pedindo-me. Normalmente, isso só deve acontecer para sites protegidos por NTLM que não são reconhecidos como estando na zona "Intranet".

Como explicado, este não é o caso aqui. Especialmente porque metade de uma página pode carregar perfeitamente e sem interrupção e os recursos de algumas páginas (provenientes do mesmo servidor!) Acionam a mensagem de login.

Examinei http://support.microsoft.com/kb/303650 , que dá a impressão de descrever o problema, mas nada parece funcionar. E, francamente, não tenho certeza se "editar manualmente o registro" é a solução certa para esse tipo de problema. Afinal, não sou a única pessoa no mundo com uma configuração do IE / intranet / IIS.

Estou perdida, alguém pode me dar uma dica?


Desculpe, eu não pude resistir: Então, capitão, quanto tempo devemos nos olhar através da zona neutra ?!
allquixotic

Respostas:


11

A única vez que vemos isso é se a senha de um usuário expirou. Sempre que vemos isso, fazemos com que o usuário altere sua senha e, por uma boa medida, efetue logout e logon novamente com as novas credenciais. O site da Intranet não solicita mais credenciais.

Faz muitas chamadas de suporte rápido ...

Além disso, verifique se a zona da intranet local está configurada para logon automático com nome de usuário e senha atuais. Você pode fazer isso:

  1. Ferramentas
  2. Opções de Internet
  3. Clique esquerdo na guia Segurança
  4. Clique esquerdo no nível personalizado
  5. Role para baixo até Autenticação do usuário
  6. Em Logon, selecione Logon automático com nome de usuário e senha atuais

Não, as senhas estão bem. Essa foi a primeira coisa que verifiquei, naturalmente. Além disso, não haveria carregamento parcial da página e comportamento irregular "às vezes funciona, às vezes não" se a senha expirasse.
Tomalak

2

Talvez parte do handshake de 4 partes que está acontecendo com o ntlm esteja se perdendo, ou seja, falando com o proxy? Ou seja, se isto estiver perguntando ao proxy sobre as páginas da intranet ...

Sei que você disse que tentou colocar sites na zona da intranet e configurá-los para ignorar o proxy. Apenas curioso, o que acontece se você desativar completamente a configuração do proxy no navegador? Não há mais pop-ups, certo?


Os sites da intranet não estão sendo carregados pelo proxy. Mas eu posso tentar.
21711 Tomalak

1
Após desligar completamente o proxy e adicionar manualmente nosso FQDN da Intranet à zona "Intranet" no IE, parece funcionar no ATM. Eu não testei por muito tempo, então não posso ter certeza absoluta. Talvez seja alguma peculiaridade do WPAD? Afinal, o arquivo PAC retorna "DIRECT" para este FQDN também ...
Tomalak

Parece que você encontrou sua resposta se a desativação do proxy funcionou. Eu sugeria tentar o Firefox e adicionar o nome do site à configuração ntlm na página about: config e ver se isso estava funcionando.
Marlon

0

Tente procurar em ferramentas administrativas no painel de controle; abra os assistentes do .NET 1.1 e ajuste a segurança do .NET para "Confiança total" na intranet.


Não há .NET envolvido em tudo nas páginas em questão. Não importa o que eu configuro lá.
Tomalak

0

Você verificou / alterou seu 'Segurança de rede: nível de autenticação do LAN Manager' em 'Painel de controle / Ferramentas administrativas / Política de segurança local / Diretivas locais / Opções de segurança'? ( Q823659 )

Executamos um grupo de trabalho aqui (sem servidores Windows) com uma intranet local e amplo uso do MySQL ... Até termos alterado (ou ativado) a chave / opção acima, nada parecia funcionar 100% do tempo, isso não era apenas um problema do Windows 7. Também desabilitamos as opções 'Exigir criptografia de 128 bits' nas 2 chaves NTLM abaixo desta nos PCs com Windows 7 ... Ainda temos problemas ocasionais no banco de dados, mas o SQL está bom desde que o fizemos.


Infelizmente, isso não é nada que eu possa mudar. GPOs de domínio estão controlando essa configuração. Além disso, isso não explica o comportamento irregular, eu esperaria que falhasse o tempo todo quando as configurações de autenticação de baixo nível estiverem erradas. : - \
Tomalak,

0

Como você está em um domínio e o problema é inesperado, sempre me pergunto duas coisas ...

  1. O mesmo comportamento ocorre para outros usuários?
  2. O mesmo comportamento ocorre para um usuário de domínio diferente na sua máquina?

Para 1 e 2: Sim. Muito intrigante.
Tomalak

Isso faz-se sentir como GPO ou a configuração de IIS são os culpados ...
Paul D'Ambra

Ao utilizar nosso site, você reconhece que leu e compreendeu nossa Política de Cookies e nossa Política de Privacidade.
Licensed under cc by-sa 3.0 with attribution required.