预认证失败导致用户无法获取TGT，典型表现为输入正确凭据后直接报错或反复弹窗；主因包括时间偏差超5分钟（事件ID 4771/4768）、账户禁用或密码错误、KDC不可达、AES加密不兼容；需结合日志、抓包与命令行工具交叉验证并逐项修复。
预身份验证（pre-authentication）是 kerberos 登录流程中客户端向域控发起 as-req 请求前的关键安全环节，它强制用户证明自己“知道密码”，从而防止离线暴力破解。一旦失败，用户连初始票据（tgt）都拿不到，典型表现是输入正确域账号密码后直接报错、无提示或反复弹窗。这不是配置遗漏，而是协议层的硬性校验，必须逐项排查。
预认证失败的常见原因与对应检查点
预认证不是可选开关，而是 Windows 域默认启用的安全机制。失败通常指向以下几类问题：
- 时钟偏差过大：Kerberos 要求客户端、服务端、域控三者时间差不超过 5 分钟（默认容差）。超出即拒绝预认证，事件日志中常出现 KDC_ERR_CLOCK_SKEW 或 Kerberos 事件 ID 4（KERB_AP_ERR_SKEW）。
- 账户被禁用、过期或密码错误：包括密码已过期但未重置、账户被锁定、UPN 格式不匹配（如用 samAccountName 登录却配置了 UPN 后缀）、或密码策略变更后未同步更新。
- KDC 无法访问或响应异常：客户端 DNS 解析不到域控的 SRV 记录（_kerberos._tcp.dc._msdcs.域名），或防火墙拦截了 UDP/TCP 88 端口，导致 AS-REQ 根本发不出去。
- 预认证类型不兼容：例如客户端只支持 AES 加密，但域控仍启用旧版 RC4_HMAC，或账户属性中禁用了“使用 AES 256 位加密”选项，导致 padata 字段协商失败。
快速定位是否为预认证问题
不能只看登录界面反馈。应结合客户端和域控两端日志交叉验证：
- 在客户端运行 eventvwr.msc，查看“Windows 日志 → 安全”，筛选事件 ID 4771（Kerberos 预身份验证失败）。该事件会明确记录失败原因代码（如 0x12 = 用户不存在，0x25 = 密码过期，0x3c = 时钟偏移）。
- 在域控制器上打开“事件查看器 → Windows 日志 → 安全”，查找事件 ID 4768（TGT 请求）是否生成。若完全无记录，说明请求未到达 KDC；若有 4768 但伴随失败状态码，则确认是预认证环节中断。
- 用 Wireshark 抓包过滤 kerberos && udp.port==88，观察是否有 AS-REQ 发出、是否收到 AS-REP。若只有 AS-REQ 没有回应，基本可判定网络或 KDC 服务异常。
修复操作建议
针对不同根因，采取对应动作，避免盲目重启或重装：
- 时间同步：在客户端执行 w32tm /resync /force，确认 NTP 源指向正确的域控（w32tm /query /configuration）；域控本身应以可靠外部时间源（如 time.windows.com）为基准。
- 账户状态检查：在域控用 Get-ADUser -Identity 用户名 -Properties * | fl Enabled,AccountExpirationDate,PasswordExpired,LockedOut 查看关键属性；确认账户未被设置“密码永不过期”却实际已过期（部分策略组合会导致逻辑冲突）。
- SPN 和加密类型：运行 setspn -L 用户名 排查是否存在重复 SPN 干扰；在 AD 用户属性 → “帐户”选项卡 → 勾选“此帐户支持 Kerberos AES 加密”，并确保域功能级别 ≥ Windows Server 2008 R2。
- 临时绕过测试（仅诊断用）：在 AD 用户属性 → “帐户”选项卡 → 取消勾选“账户要求预身份验证”。若此时登录成功，即可 100% 锁定为预认证机制问题，再回溯上述细节。
预认证不是黑盒流程，它的每一步都在日志和网络包里留下痕迹。抓住 4771 事件、时钟偏差、账户加密策略这三个锚点，90% 的问题都能在十分钟内定位清楚。
