Nold eDirectory 8.8 서버에 ldaps 연결을 시도 할 때 때때로 TLS_REQCERT never클라이언트 서버 ldap.conf 파일 에 넣어야 합니다. 분명히 이것은 나쁜 생각입니다.
내가 실행하는 명령은 실제로 작동하는 자격 증명이있는 것과 같습니다 ...
ldapsearch -x -H ldaps://ldapserver -b 'ou=active,ou=people,dc=example,dc=org' -D 'cn=admin,dc=example,dc=org' -W "cn=username"
우분투 13.10에서는 정상적으로 작동합니다.
SLES에서는 제대로 작동합니다.
CentOS 6.5에서는 다음을 반환합니다.
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
이제 가져온 인증서는 DigiCert에서 구입 한 와일드 카드 인증서입니다. 동료가 일부 시스템에 와일드 카드 문제가 있음을 나타내는 일부 보고서를 발견했습니다.
그러면 와일드 카드 인증서가 비난받을까요? 그렇다면 어떻게 해결합니까?
와일드 카드 인증서가 아니면 무엇입니까?
Andrew Schulman의 제안에 따라 -d1ldapsearch 명령을 추가 했습니다. 내가 끝내었던 것은 다음과 같습니다.
ldap_url_parse_ext(ldaps://ldap.example.org)
ldap_create
ldap_url_parse_ext(ldaps://ldap.example.org:636/??base)
Enter LDAP Password:
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP ldap.example.org:636
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying 10.225.0.24:636
ldap_pvt_connect: fd: 3 tm: -1 async: 0
TLS: certdb config: configDir='/etc/openldap' tokenDescription='ldap(0)' certPrefix='cacerts' keyPrefix='cacerts' flags=readOnly
TLS: cannot open certdb '/etc/openldap', error -8018:Unknown PKCS #11 error.
TLS: could not get info about the CA certificate directory /etc/openldap/cacerts - error -5950:File not found.
TLS: certificate [CN=DigiCert High Assurance EV Root CA,OU=www.digicert.com,O=DigiCert Inc,C=US] is not valid - error -8172:Peer's certificate issuer has been marked as not trusted by the user..
TLS: error: connect - force handshake failure: errno 2 - moznss error -8172
TLS: can't connect: TLS error -8172:Peer's certificate issuer has been marked as not trusted by the user..
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
그 말에서 CentOS는 DigiCert를 신뢰하지 않습니까? 아니면 CentOS에 신뢰할 수있는 발급자 목록이 없습니까?
예, 서버에 연결할 수 있음을 확인했습니다. 결국 전혀 연결할 수 없으면 전혀 작동하지 않습니다.
—
David R.
세 개의 다른 클라이언트 호스트를 언급했습니다. 작동하지 않는 연결은 네트워킹 문제로 인해 연결되지 않았을 수 있지만 다른 연결은 연결할 수 없습니다.
—
Richard E. Silverman
내 게시물이 모든 호스트에서 ldap.conf 파일을 편집하고 있다는 것이 분명하다고 생각했습니다. 파일에 줄을 추가했을 때와 마찬가지로 작동했지만 줄이 없으면 효과가 없었습니다. 따라서 연결 문제가 아닙니다.
—
David R.
처음에 게시물을 읽을 때 분명하지 않았지만 지금은 무슨 의미인지 알 수 있습니다. 어쨌든, 추가 한 TLS 디버깅 정보는 문제를 보여줍니다. 후속 답변을 추가했습니다.
—
Richard E. Silverman
telnet ldapserver ldaps또는openssl s_client -connect ldapserver:636.