☰

openssl s_client 出错：“数据长度太长”

tag-icon • tag-icon ssl ldap certificate openssl
openssl s_client 出错：“数据长度太长”

我有一台 Ubuntu 12.04 服务器，我正在尝试设置 Apache 以使用 LDAPS 进行身份验证。我遇到了一些问题——请参阅我之前的问题，我得出结论，LDAP 服务器上的证书已过期。

因此，我的老板从 DigiCert 获得了“真正的”证书，并将其安装在 上myldap.xyz.edu。然后我去myserver.xyz.edu尝试了openssl s_client -connect myldap.xyz.edu:636 -showcerts。它给了我以下结果：

CONNECTED(00000003)
140075639178912:error:1408F092:SSL routines:SSL3_GET_RECORD:data length too long:s3_pkt.c:504:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 16731 bytes and written 7 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : 0000
    Session-ID:
    Session-ID-ctx:
    Master-Key:
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1340655299
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---

...它让我回到命令提示符。

我在网上查找了这个“数据长度太长”错误，但大部分解释对我来说都一头雾水。这是客户端还是服务器的问题？这与证书有关还是其他什么？我该怎么办？谢谢！

编辑：又搜索了一下，发现这个微软教程在 Active Directory 中启用 LDAP over SSL（我应该提到我们的 LDAP 服务器是运行 AD 的 Windows Server 2003 w/ SP2）。它为我提供了以下步骤来测试 LDAPS 是否已启用：

  1. 启动 Active Directory 管理工具 (Ldp.exe)。
  2. 在“连接”菜单上，单击“连接”。
  3. 键入要连接的域控制器的名称。
  4. 键入 636 作为端口号。
  5. 单击“确定”。

RootDSE 信息应打印在右侧窗格中，表明连接成功。

我进入远程桌面myldap.xyz.edu并尝试了一下。这是我在右侧窗格中得到的输出：

ld = ldap_open("myldap.xyz.edu", 636);
Established connection to myldap.xyz.edu.
Retrieving base DSA information...
Result <0>: (null)
Matched DNs: 
Getting 1 entries:
>> Dn: 
    1> currentTime: 06/25/2012 16:57:13 Central Standard Time Central Daylight Time; 
    1> subschemaSubentry: CN=Aggregate,CN=Schema,CN=Configuration,DC=xyz,DC=edu; 
    1> dsServiceName: CN=NTDS Settings,CN=MYLDAP,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xyz,DC=edu; 
    5> namingContexts: DC=xyz,DC=edu; CN=Configuration,DC=xyz,DC=edu; CN=Schema,CN=Configuration,DC=xyz,DC=edu; DC=DomainDnsZones,DC=xyz,DC=edu; DC=ForestDnsZones,DC=xyz,DC=edu; 
    1> defaultNamingContext: DC=xyz,DC=edu; 
    1> schemaNamingContext: CN=Schema,CN=Configuration,DC=xyz,DC=edu; 
    1> configurationNamingContext: CN=Configuration,DC=xyz,DC=edu; 
    1> rootDomainNamingContext: DC=xyz,DC=edu; 
    23> supportedControl: 1.2.840.113556.1.4.319; 1.2.840.113556.1.4.801; 1.2.840.113556.1.4.473; 1.2.840.113556.1.4.528; 1.2.840.113556.1.4.417; 1.2.840.113556.1.4.619; 1.2.840.113556.1.4.841; 1.2.840.113556.1.4.529; 1.2.840.113556.1.4.805; 1.2.840.113556.1.4.521; 1.2.840.113556.1.4.970; 1.2.840.113556.1.4.1338; 1.2.840.113556.1.4.474; 1.2.840.113556.1.4.1339; 1.2.840.113556.1.4.1340; 1.2.840.113556.1.4.1413; 2.16.840.1.113730.3.4.9; 2.16.840.1.113730.3.4.10; 1.2.840.113556.1.4.1504; 1.2.840.113556.1.4.1852; 1.2.840.113556.1.4.802; 1.2.840.113556.1.4.1907; 1.2.840.113556.1.4.1948; 
    2> supportedLDAPVersion: 3; 2; 
    12> supportedLDAPPolicies: MaxPoolThreads; MaxDatagramRecv; MaxReceiveBuffer; InitRecvTimeout; MaxConnections; MaxConnIdleTime; MaxPageSize; MaxQueryDuration; MaxTempTableSize; MaxResultSetSize; MaxNotificationPerConn; MaxValRange; 
    1> highestCommittedUSN: 13287969; 
    4> supportedSASLMechanisms: GSSAPI; GSS-SPNEGO; EXTERNAL; DIGEST-MD5; 
    1> dnsHostName: MYLDAP.xyz.edu; 
    1> ldapServiceName: xyz.edu:[email protected]; 
    1> serverName: CN=MYLDAP,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=xyz,DC=edu; 
    3> supportedCapabilities: 1.2.840.113556.1.4.800; 1.2.840.113556.1.4.1670; 1.2.840.113556.1.4.1791; 
    1> isSynchronized: TRUE; 
    1> isGlobalCatalogReady: TRUE; 
    1> domainFunctionality: 2 = ( DS_BEHAVIOR_WIN2003 ); 
    1> forestFunctionality: 2 = ( DS_BEHAVIOR_WIN2003 ); 
    1> domainControllerFunctionality: 2 = ( DS_BEHAVIOR_WIN2003 ); 
-----------

看起来它起作用了，所以我猜测 Active Directory 已经支持 LDAPS 了。

编辑2：根据 @SilverbackNet 的建议，我尝试了openssl s_client带有-debug选项的命令。以下是（已编辑的）输出：

CONNECTED(00000003)
write to 0x24f3470 [0x24f34f0] (226 bytes => 226 (0xE2))
0000 - 16 03 01 00 dd 01 00 00-d9 03 02 4f f3 5a 5b 38   ...........O.Z[8
[...]
00e0 - 01 01                                             ..
read from 0x24f3470 [0x24f8a50] (7 bytes => 7 (0x7))
0000 - 16 03 01 40 b9 02                                 ...@..
0007 - <SPACES/NULS>
read from 0x24f3470 [0x24f8a5a] (16567 bytes => 2889 (0xB49))
0000 - 00 4d 03 01 4f f3 5a 5b-46 43 f0 02 76 34 1c d5   .M..O.Z[FC..v4..
[...]
0b40 - 70 3a 2f 2f 63 72 6c 33-2e                        p://crl3.
read from 0x24f3470 [0x24f95a3] (13678 bytes => 13678 (0x356E))
0000 - 64 69 67 69 63 65 72 74-2e 63 6f 6d 2f 44 69 67   digicert.com/Dig
[...]
3560 - 65 72 20 52 6f 6f 74 20-43 41 0e                  er Root CA.
356e - <SPACES/NULS>
write to 0x24f3470 [0x25027e0] (7 bytes => 7 (0x7))
0000 - 15 03 01 00 02 02 16                              .......
---
no peer certificate available
[...]

从那里开始就和上面一样了。如果有帮助的话，我也可以发布右侧栏的完整输出。

编辑3：我们决定暂时放弃这个问题，LDAPVerifyServerCert off暂时使用带有旧的过期证书的 Apache 选项。:^( FWIW，我的老板现在认为需要获得一个特殊的、短的（我想他说的是 1024 字节）证书来进行 LDAP 服务器验证。他比我更了解细节，但这对我来说很有意义，因为错误消息说某些东西太大了。如果/当我们解决了这个问题时，我会尝试发布答案。

答案1

通常这意味着您正在使用 SSL 与非 SSL 服务器通信。请检查 LDAP 服务器上的配置工作；新证书似乎尚未生效。

相关内容