Bij het migreren van servers of het wijzigen van hostnamen kan het behoorlijk lastig zijn om alles soepel te laten verlopen met Kerberos en DNS. Het grootste probleem? Het simpelweg toevoegen van een A-record of DNS-alias (CNAME) is niet voldoende om Kerberos-authenticatie goed te laten werken. Als uw nieuwe hostnaam niet alle SPN-vermeldingen in Active Directory bijwerkt, kan Kerberos de toegang blokkeren, wat problemen kan veroorzaken. Gelukkig zijn er manieren om dit te laten werken zonder de authenticatie te verstoren, hoewel geen van deze oplossingen direct werkt. Deze handleiding beschrijft de meest gebruikelijke methoden, plus enkele opties voor Windows-versies die deze ingebouwde tools missen.
Hoe los je problemen met hostnamen en Kerberos op bij het migreren van servers?
Methode 1: DNS Manager en netdom.exe gebruiken (het meest geschikt voor serverbesturingssystemen)
Allereerst is de klassieke manier om een hostnaam toe te voegen aan DNS en deze vervolgens te registreren bij het Active Directory-domein. DNS is hier echter gevoelig, want als u alleen een CNAME-record toevoegt, herkent Kerberos de nieuwe naam voor uw service niet. Daarom is het registreren van de hostnaam in Active Directory cruciaal. Om dit te doen op een Windows Server, opent u DNS Manager (typ dit dnsmgmt.mscin ‘Uitvoeren’) en maakt u een CNAME-record aan dat de nieuwe naam naar uw bestaande hostnaam verwijst. Vervolgens kunt u met netdom.exe de nieuwe hostnaam eenvoudiger registreren bij Active Directory en de SPN’s correct instellen.
- Open een opdrachtprompt of PowerShell met beheerdersrechten (uitvoeren als beheerder).
- Loop:
netdom computername your-computer-name /ADD new.fqdn.example.com - Vervolgens moet u de DNS opnieuw registreren:
ipconfig /registerdns
Dit proces registreert een CNAME in DNS, werkt het AD-object bij met de nieuwe hostnaam en past de SPN-vermeldingen aan, zodat Kerberos geen problemen veroorzaakt. In sommige configuraties mislukt dit de eerste keer, of moet u de machine mogelijk opnieuw opstarten of een commando uitvoeren gpupdate /forceom het beleid te pushen. Als netdomdit niet mogelijk is (zoals op Windows 10- of 11-clients), moet u DNS handmatig bijwerken en enkele registerinstellingen aanpassen.
Methode 2: Handmatig het register bijwerken voor extra hostnamen
Als je vastzit op Windows 10/11 en netdom.exedeze optie niet beschikbaar is, is dit vaak wat je moet doen. Het voelt een beetje alsof je in het register moet graven, maar het is de enige manier om extra hostnamen of aliassen toe te voegen die Kerberos herkent – in ieder geval tijdelijk. Het idee is om een aantal registersleutels aan te maken of te bewerken, zodat het besturingssysteem de extra namen herkent, en vervolgens DNS opnieuw te registreren.
- Navigeer naar HKLM\System\CurrentControlSet\Services\DNSCache\Parameters\
- Maak een nieuwe REG_Multi_SZ-waarde aan met de naam AlternateComputerNames.
- Voeg uw nieuwe FQDN’s of NetBIOS-namen toe, één per regel.
- Voer deze opdracht uit
ipconfig /registerdnsin een opdrachtprompt met beheerdersrechten om DNS-records bij te werken. - Om te controleren of de Kerberos SPN’s correct zijn, voert u het volgende commando uit:
setspn.exe -A host/newname wks11
En als je het echt geavanceerd wilt aanpakken en een extra NetBIOS-naam wilt toevoegen, maak dan een nieuwe REG_Multi_SZ met de naam OptionalNames aan in HKLM\System\CurrentControlSet\Services\LanManServer\Parameters. Start daarna de LANMAN-service opnieuw: net stop lanmanserver && net start lanmanserver. Dit helpt bij de klassieke SMB-naamresolutie.
Optie: Strikte naamcontrole uitschakelen (snel en eenvoudig)
En voor die momenten waarop niets anders werkt — vooral als je de SPN’s in Active Directory niet kunt bijwerken — kun je overwegen om de naamcontrole volledig uit te schakelen. Maak hiervoor een DWORD-waarde aan in HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters met de naam DisableStrictNameChecking en stel deze in op 1. Dit geeft Windows in feite de opdracht om bepaalde naamverschillen bij SMB-toegang te negeren. Niet superveilig op de lange termijn, maar het kan een uitkomst bieden als je wanhopig bent.
Uiteraard is een herstart na deze wijziging aan te raden. Houd er ook rekening mee dat dit mogelijk bepaalde Kerberos-beveiligingen omzeilt, dus gebruik deze functie met mate.
Eerlijk gezegd kan het aanpassen van deze instellingen best een gedoe zijn. Soms helpt een herstart na het aanbrengen van wijzigingen al om de updates te voltooien. En als al het andere faalt, controleer dan de DNS-records, zorg ervoor dat je SPN’s correct zijn met behulp van de documentatie van de SetSPN-tool, en ga dan verder. Want Windows moet het natuurlijk altijd ingewikkelder maken dan nodig is.