![尝试配置 openldap TLSCipherSuite](https://linux22.com/image/1527887/%E5%B0%9D%E8%AF%95%E9%85%8D%E7%BD%AE%20openldap%20TLSCipherSuite.png)
我有一个 openldap 服务器,我正在尝试调整我的TLSCipherSuite
设置以使其尽可能安全。
请不要批评我的实际安全设置。请帮助我了解正在发生的事情。
我正在编辑/etc/openldap/slapd.conf
文件,并使用slaptest
将该文件转换为/etc/openldap/slapd.d
配置目录。我正在使用sslscan
列出可用的密码。
我开始
TLSCipherSuite HIGH:MEDIUM:-SSLv2:+SSLv3
并sslscan
告诉我
$ sslscan --no-failed hostname:636 | grep Accepted
Accepted SSLv3 256 bits DHE-RSA-AES256-SHA
Accepted SSLv3 256 bits DHE-RSA-CAMELLIA256-SHA
Accepted SSLv3 256 bits AES256-SHA
Accepted SSLv3 256 bits CAMELLIA256-SHA
[...]
Accepted TLS12 112 bits DES-CBC3-SHA
Accepted TLS12 112 bits ECDHE-RSA-RC4-SHA
Accepted TLS12 112 bits RC4-SHA
Accepted TLS12 112 bits RC4-MD5
$ sslscan --no-failed hostname:636 | grep Accepted | wc -l
72
从那里,我拿出了MEDIUM
TLSCipherSuite HIGH:-SSLv2:+SSLv3
$ sslscan --no-failed hostname:636 | grep Accepted | wc -l
57
好多了。然后我尝试删除 SHA1,这时我完全糊涂了。
TLSCipherSuite HIGH:-SSLv2:+SSLv3:-SHA
$ sslscan --no-failed hostname:636 | grep Accepted | wc -l
91
$ sslscan --no-failed hostname:636 | grep Accepted
[...]
Accepted TLS12 112 bits RC4-SHA
Accepted TLS12 112 bits RC4-MD5
Accepted TLS12 56 bits EDH-RSA-DES-CBC-SHA
Accepted TLS12 56 bits DES-CBC-SHA
Accepted TLS12 0 bits ECDHE-RSA-NULL-SHA
Accepted TLS12 0 bits NULL-SHA
Accepted TLS12 0 bits NULL-MD5
所以我的问题是......这里发生了什么,我试图消除我接受列表中的一些密码,相反,我添加一堆?我做错了什么?
再次强调,请不要批评我的实际安全设置。请帮助我了解发生了什么。