Re: [gentoo-user-de] LDAP über SSL

[Jan Girlich]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Abend!

Markus Rennings wrote:
> Hier das Original (aus meiner unangetasteten /etc/conf.d/slapd vom
client):
> # OPTS="-h 'ldaps:// ldap://
ldapi://%2fvar%2frun%2fopenldap%2fslapd.sock'"

Läuft wieder. Lag daran, dass ich beim Herumtesten zwar nichts an der
Konfiguration verstellt habe, aber sehr wohl die Datei /etc/ssl/ldap.pem
verändert hatte.

>>>Hast Du dem Client auch das CA-Certificate bekannt gemacht?
>>>(tls_cacertfile)
>>
>>Nicht wissentlich. Und nachdem ich eben das Howto noch einmal überflogen
>>habe kann ich zu dem Punkt auch nichts finden. In welcher
>>Konfigurationsdatei muss ich den Eintrag vornehmen und welche
>>Zertifikatsdatei muss ich auf den Client kopieren?
>
> Du musst/solltest/kannst (?) das CA-Certificate (das, mit dem das
> Server-Certificate signiert wurde) auf den Client kopieren, und diesem in

Bei meinem bisherigem Verständnis des ganzen Zertifikatsgerammels ist es
schon ziemlich schwierig eben jenes CA-zertifikat auszumachen. Denn bei
"self-signed" dachte ich es würde bedeuten, dass das Zertifikat mit sich
selbst zertifiziert wurde.

> "/etc/ldap.conf" per "tls_cacertfile /path/to/cacert.pem"
bekanntmachen, so
> daß der Client auch eine Chance hat, daß Server-Certificate zu überprüfen.

Ich muss zugeben, dass ich das jetzt nicht probiert habe. Aber scheinbar
habe ich das Problem gelöst.

Ich habe jetzt mal folgendes probiert und dabei gesehen, dass er ja am
gänzlich falschen Port zugange ist. Der Port für LDAP über SSL ist 636
und nicht 389!

jan # ldapsearch -D "cn=Manager,dc=treehouse,dc=test" -W -v -h
gentoo.treehouse.test -d255
ldap_initialize( ldap://gentoo.treehouse.test )
ldap_create
ldap_url_parse_ext(ldap://gentoo.treehouse.test)
Enter LDAP Password:
ldap_bind_s
ldap_simple_bind_s
ldap_sasl_bind_s
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection
ldap_int_open_connection
ldap_connect_to_host: TCP gentoo.treehouse.test:389
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying 192.168.17.1:389
ldap_connect_timeout: fd: 3 tm: -1 async: 0
ldap_ndelay_on: 3
ldap_is_sock_ready: 3
ldap_is_socket_ready: error on socket 3: errno: 111 (Connection refused)
ldap_close_socket: 3
ldap_perror
ldap_bind: Can't contact LDAP server (-1)

Also habe ich noch mal die Manpage von ldapsearch studiert und
festgestellt, dass -h deprecated ist in favour of -H, welches nicht nur
einen Hostnamen, sondern eine ganze URI akzeptiert. Und damit klappt es
jetzt auch:

ldapsearch -D "cn=Manager,dc=treehouse,dc=test" -W -v -H
ldaps://gentoo.treehouse.test:636
ldap_initialize( ldaps://gentoo.treehouse.test:636 )
Enter LDAP Password:
filter: (objectclass=*)
requesting: ALL
# extended LDIF
#
# LDAPv3
# base <> with scope sub
# filter: (objectclass=*)
# requesting: ALL
#

# treehouse.test
dn: dc=treehouse,dc=test
dc: treehouse
objectClass: top
objectClass: domain
[...]

Sehr schön, jetzt brauche ich nur noch ein vernünftiges Programm zum
Administrieren des Verzeichnisses.
Derzeit habe ich luma und diradm installiert und versuche sie gerade zum
Laufen zu bekommen. Aber die Konfiguration ist für mich leider nicht
ganz so intuitiv. Also nur eine Frage der Zeit, bis ich die nächsten
Fragen dazu stelle ;)

Vielen Dank für die Hilfen und Anregungen!
Jan
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.2 (GNU/Linux)

iD8DBQFDxDfqvuM9o4Jvd/8RAsWuAJ98rjzXnK1S6RzcyBXRzZhgN5TFRwCfXuL9
pMpAjNZELLSi8/ujU5kG+Co=
=9gGx
-----END PGP SIGNATURE-----

-- 
gentoo-user-de@g.o mailing list