Проблема LDAPS между OpenBSD и Ubuntu

Содержание

Вопрос или проблема
Ответ или решение
Актуальность проблемы
Возможные причины
Пути решения
Заключение

Вопрос или проблема

У меня проблемы с LDAP. У меня есть главная виртуальная машина OpenBSD, на которой находится база данных LDAP, к которой все остальные виртуальные машины подключаются на основе сертификатов. До сих пор все было удобно настроено таким образом, что мне нужно было просто с помощью scp перенести файл cacert.pem в нужное место, настроить файл ldap.conf в целевой виртуальной машине после установки необходимых утилит, и я должен был бы быть подключен к базе данных и иметь возможность без усилий использовать ldap-аккаунты на моей виртуальной машине. Однако, когда я пытаюсь использовать виртуальную машину, чтобы id placeholder работал из nssconfig, что-то вроде id имя пользователя ldap-аккаунта не работает. Когда я смотрю в логи аутентификации, они просто говорят:

ubuntu sudo: nss_ldap: переподключение к LDAP-серверу…
ubuntu sudo: nss_ldap: не удалось подключиться к LDAP-серверу ldaps://имя_сервера: ошибка протокола

Я провел все тесты, чтобы убедиться, что все остальное работает, и они работают.

openssl s_client -connect
Этот тест сработал, и я смог подключиться

ldapsearch -x -b "dc=placeholder,dc=placeholder" "(uid=placeholder)"

Вышеприведенное также сработало, так что я знаю, что мой корневой аккаунт LDAP работает, что я могу подключиться к базе данных LDAP, и что аккаунт, который я пытаюсь использовать, существует, так что проблема должна быть в Ubuntu, но я не знаю, как ее исправить.

Единственное, что я могу предположить — это связано с nsswitch.conf, который я не сильно изменял, только:

passwd:         files systemd ldap
group:          files systemd ldap
shadow:         files systemd ldap
gshadow:        files systemd

hosts:          files dns
networks:       files

protocols:      db files
services:       db files
ethers:         db files
rpc:            db files

netgroup:       nis

Ответ или решение

Испытание с использованием LDAPS между OpenBSD и Ubuntu часто связано с аутентификацией и настройкой протоколов. Разберем основные шаги, чтобы устранить описанную вами проблему, сосредоточившись на деталях, которые вы предоставили.

Актуальность проблемы

Прежде всего, стоит подчеркнуть, что вы столкнулись с проблемой аутентификации, а именно: ошибка failed to bind to LDAP server ldaps://servername: Protocol error. Все остальные тесты проходят положительно, что исключает ошибки с сетью и основными учетными данными LDAP. Ваш чистый логический переход к проблеме на стороне Ubuntu оправдан.

Возможные причины

Ошибка конфигурации ldaps:// – Это может быть связано с некорректной конфигурацией LDAP на стороне клиента Ubuntu, что приводит к несовместимости протоколов.
Сертификат и цепочка доверия – Удостоверьтесь, что все сертификаты правильно установлены. Возможно, cacert.pem не корректно настроен для LDAPS конфигурации.
Проблемы с конфигурацией nsswitch.conf – Ваша конфигурация, кажется, корректной, но возможно добавление ldap после systemd в passwd, group, и shadow может исправить ситуацию за счет изменения порядка обращения.

Пути решения

Перепроверьте конфигурацию ldap.conf:
- Убедитесь, что записи для TLS_CACERT указывают на правильный путь к cacert.pem.
- Проверьте параметры TLS_REQCERT и установите его в demand, если не установлено.
Проверьте файлы сертификатов и их доступность:
- Испытайте openssl verify -CAfile /путь/к/cacert.pem /путь/к/сертификату и убедитесь, что сертификат доверен и доступен.
Проверьте совместимость протоколов и версий:
- На сервере и клиенте могут быть разные версии OpenSSL, что иногда вызывает ошибки протоколов. Обновите и синхронизируйте их по мере возможности.

Обновите конфигурацию nsswitch.conf:

passwd:         files ldap systemd
group:          files ldap systemd
shadow:         files ldap systemd
gshadow:        files systemd

Проверка конфигурации slapd на стороне OpenBSD:
- Удостоверьтесь, что OpenBSD сервер реально поддерживает LDAPS соединения и что используется корректный порт (обычно 636).

Заключение

LDAPS настройки часто сложны и требуют корректного управления как сертификацией, так и конфигурацией службы. Следуя этим рекомендациям, вы улучшите ваши шансы успешно устранить проблему. Кроме того, если политика безопасности позволяет, возможно попробовать временно использовать LDAP без SSL для упрощенной диагностики.