[10.6 Snow Leopard] Keine Kerberos-Tickets trotz laufender Dienste

[BackPacker]

Guten Tag zusammen,

ich sitze hier mit meinem MacMiniServer (10.6.7) und ein paar Clients in einem privaten Umfeld hinter einem Telekom-Plastik-Router. Der Server dient primär dazu seine Filesharing-Dienste (AFP für Macclients, SMB für Windowsclients) bereitzustellen.

Seit der Neuinstallation gestern funktioniert allerdings die Authentifizierung über Keberos nicht - die Clients kriegen kein Ticket und können sich entsprechend nicht anmelden. Die "Standard"-Anmeldung funktionier dagegen mit den Accounts bestens.
Einfache Sache dachte ich, läuft der auf dem MacMini bereitgestellter DNS-Server nicht richtig, doch im Terminal gibt "changeip -checkhostname" richtige Werte zurück. Falls hier doch die Fehlerquelle sein sollte, hier ein Screenshot wie die Zonen in "Server-Admin" eingerichtet sind:



Selbstverständlich ist im Client auch der MacMini als DNS-Server eingetragen.
Der DNS-Server vom MacMini verweist auf sich selbst (127.0.0.1).

Ich weiß nicht, wo ich den Fehler noch suchen soll, da OD (inkl. LDAP und Kennwortserver) nicht nur laut "Server-Admin" arbeitet, sondern aufgrund erfolgreicher "Standard"-Anmeldung tatsächlich läuft. Die betreffenden Stellen in der Dokumentation von Apple hab ich ohne Erfolg auch schon rauf und runtergelesen.
Ich vermute nur noch, dass der NAT vom Router Quatsch macht bzw. der Router doch einen eigenen DNS-Server (man kann Computer benennen, die Auswirkungen davon habe ich noch nicht genau begriffen) bereitstellt und dieser mit dem DNS-Server vom MacMini in die Quere kommen.

Vielen Dank für eure Hilfe
BackPacker

 

[drlecter]

Hast du den DHCP Server vom Router abgeschaltet? Der DNS Server ist egal. Ich denke mal du hast deinen DNS Server nur für deine lokale Domain eingerichtet und musst eh externe DNS Server abfragen. Wie sieht es mit der Zeitsynchronisation aus?

 

[BackPacker]

Erstmal vielen Dank drlecter für deine schnelle Antwort.

Der DHCP-Server vom Router läuft noch - ich habe das Problem nicht hier vermutet, da es früher mit laufendem DHCP-Server bestens funktioniert hat.
Zum DNS-Server: Die Clients stellen die DNS-Anfragen den Mini, der selbst, wie im Screenshot zu sehen, nur "macminiserver.lan" auflöst und bei allen anderen Anfragen diese weitergeben muss. Wen er da befragt kann ich dir nicht sagen, da in den Systemeinstellungen durch den Einrichtungsassistent 127.0.01 als DNS-Server eingetragen wurde. Er löst allerdings alle auf.
Der Mini hat als Zeitserver den europäischen von Apple, die Clients beziehen ihre Zeit vom Mini.

 

[drlecter]

Spielt dein Mac Mini kein DHCP Server? Es darf in diesem Fall nur einen geben.
Die Zeit muss bei allen Rechnern gleich sein. Kerberos erlaubt in den Standardeinstellungen nur eine Abweichung von 300 sek.
Der DNS Server wird Anfragen die er nicht kennt, weiterleiten.