Регистрация Войти
Рейтинг:0
avatar Server

Конфигурация репликации openldap master/slave возвращает ошибку TLS от ведомого

флаг cn
user161458

Я пытаюсь добавить защищенную репликацию TLS между главным и подчиненным сервером ldap. Репликация без TLS работает хорошо.

Я сталкиваюсь с этой ошибкой от раба: slapd_client_connect: URI=ldap://master.domain.com Ошибка, ldap_start_tls не удалось (-11)

Вот моя конфигурация:

----- Мастер -----
/etc/ldap/ldap.conf
  URI ldap://master.domain.com/
  TLS_CACERT /etc/ssl/cacert.pem
  Запрос TLS_REQCERT

/etc/ldap/slapd.d/cn=config.ldif
  olcTLSCertificateKeyFile: /etc/ssl/master-key.pem
  olcTLSCertificateFile: /etc/ssl/master-cert.pem

----- Раб -----
/etc/ldap/ldap.conf
  URI ldap://slave.domain.com/
  TLS_CACERT /etc/ssl/cacert.pem
  Запрос TLS_REQCERT

/etc/ldap/slapd.d/cn=config.ldif
  olcTLSCertificateKeyFile: /etc/ssl/slave-key.pem
  olcTLSCertificateFile: /etc/ssl/slave-cert.pem

/etc/ldap/slapd.d/cn=config/olcDatabase{1}mdb.ldif
  olcSyncrepl: rid=001, provider=ldap://master.domain.com binddn="cn=readonly,ou=users,dc=master,dc=domain,dc=com" bindmethod=простые учетные данные="mypass" searchbase= "dc=master,dc=domain,dc=com" type=refreshAndPersist timeout=0 network-timeout=0 retry="60 +" starttls=critical tls_reqcert=demand

Это то, что я уже проверил/попробовал:

  • Сертификаты на обоих серверах принадлежат пользователю openldap
  • Отпечаток cacert.pem на обоих серверах одинаковый
  • Срок годности сертификатов хороший
  • Cn в cacert.pem равен cn главного сервера.
  • Ведомый может использовать следующую команду для поиска на ведущем: ldapsearch -ZZ -x -H master.domain.com -b "ou=groups,dc=master,dc=domain,dc=com"
  • Смена раба olcTLS значение для использования мастер-сертификатов
  • С использованием ldaps:// вместо ldap:// + starttls (ldapsearch -ZZ -H ldaps:// работал)

После некоторых исследований в Интернете часто говорят о сертификате CA (либо cn в нем, либо о владельце файла, ...), но я уже проверил эти случаи.

У вас есть идея, откуда взялась проблема?

90
0 + 0
Рейтинг:0
avatar Server
флаг cn
user161458

Вопреки тому, что я читал в нескольких руководствах, нам нужно настроить файл CA в переменных olcTLS, даже если мы используем самозаверяющий сертификат.

я верю /etc/ldap/ldap.conf файл не читается, так как OpenLDAP теперь работает с папкой slapd.d с "новой" системой конфигурации.

Это конфигурация, которую я в конечном итоге делаю, чтобы активировать TLS для репликации master/slave:

----- Мастер -----
/etc/ldap/slapd.d/cn=config.ldif
  olcTLSCACertificateFile: /etc/ssl/cacert.pem
  olcTLSCertificateKeyFile: /etc/ssl/master-key.pem
  olcTLSCertificateFile: /etc/ssl/master-cert.pem

----- Раб -----
/etc/ldap/slapd.d/cn=config.ldif
  olcTLSCACertificateFile: /etc/ssl/cacert.pem
  olcTLSCertificateKeyFile: /etc/ssl/slave-key.pem
  olcTLSCertificateFile: /etc/ssl/slave-cert.pem

Примечание :

  • Подчиненный сертификат должен иметь свой собственный Сп в этом
  • Если вы столкнулись с проверка модов (objectClass: значение #2 неверно для синтаксиса) ошибка, ведомое устройство пропускает некоторую схему, загруженную на ведущее устройство
0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.