[Petya V4sechkin]

Возвращаю в ГП настройки обратно в "не установлено", но хп так и не добавляется в домен.

Потому что те параметры, которые относятся к политикам безопасности, не возвращаются на исходные значения.

Например, у вас в параметре Network security: Configure encryption types allowed for Kerberos разрешены только AES128_HMAC_SHA1 и AES256_HMAC_SHA1, а они не поддерживаются в XP.

[ejik_off]

Например, у вас в параметре Network security: Configure encryption types allowed for Kerberos разрешены только AES128_HMAC_SHA1 и AES256_HMAC_SHA1, а они не поддерживаются в XP. »

эти настройки меняются в реестре, я вернул их. Т.е в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Cryptography\Configuration\Local\SSL\00010002 Functions перечислены алгоритмы по умолчанию:

Скрытый текст

TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256
TLS_DHE_DSS_WITH_AES_256_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_RC4_128_MD5
SSL_CK_RC4_128_WITH_MD5
SSL_CK_DES_192_EDE3_CBC_WITH_MD5
TLS_RSA_WITH_NULL_SHA256
TLS_RSA_WITH_NULL_SHA

Но это тоже не помогло.
а вот где меняется в реестре параметры подписывания SMB, на MS говорится что в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanManServer\Parameters параметр EnableSecuritySignature 1-вкл. 0-отк
посмотрел на рабочем КД этот параметр, стоит 1, но проблем со вводом ХР в домен нет.

[Petya V4sechkin]

эти настройки меняются в реестре, я вернул их.

Посмотрите, что в ветке
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters

а вот где меняется в реестре параметры подписывания SMB

Две пары:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
  • EnableSecuritySignature
  • RequireSecuritySignature
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
  • EnableSecuritySignature
  • RequireSecuritySignature

[ejik_off]

Посмотрите, что в ветке HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters »

supportedencryptiontypes = 18

Две пары: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters EnableSecuritySignature RequireSecuritySignature HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters EnableSecuritySignature RequireSecuritySignature »

EnableSecuritySignature=1
RequireSecuritySignature=0
Так в продуктиве, тоже самое сделал но без результатно

[Petya V4sechkin]

supportedencryptiontypes = 18

Вот его и удалите.

и все должны =1?

Нет, по умолчанию на клиентах (в XP в том числе) так:

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
  • EnableSecuritySignature = 0
  • RequireSecuritySignature = 0
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
  • EnableSecuritySignature = 1
  • RequireSecuritySignature = 0

[ejik_off]

Вот его и удалите. »

Удалил. ХП зашел в домен. Спасибо за помощь!!!!
Остался вопрос в каком случае создается этот ключ в реестре? Вроде в ГП никаких настроек керберос не трогал.

[Petya V4sechkin]

ejik_off, так параметр SupportedEncryptionTypes и соответствует политике Network security: Configure encryption types allowed for Kerberos.

[ejik_off]

ejik_off, так параметр SupportedEncryptionTypes и соответствует политике Network security: Configure encryption types allowed for Kerberos. »

Тьфу блин... Точно! Спасибо