☰

ldap_result：无法联系 LDAP 服务器（-1）

tag-icon • tag-icon ssl ldap ssl-certificate openldap
ldap_result：无法联系 LDAP 服务器（-1）

大家好，我配置了在端口 636 上运行的 openldap-server 计算机。我也可以从另一台 openldap-client 计算机 telnet 到此端口。为了保护连接，我使用此链接在服务器上创建了一个自签名证书在此处输入链接描述 然后将证书文件复制到客户端。

我已确保两台机器上的 SELinux 均已禁用，并且客户端 /etc/openldap/ldap.conf 文件中有选项 TLS_REQCERT allow

客户端机器的详细配置如下：

# cat ldap.conf
URI ldap://ad.dfsi.dev:636
BASE dc=dfsi,dc=dev
TLS_CACERTDIR /etc/openldap/cacerts
TLS_REQCERT allow

和 nslcd 文件：

# cat /etc/nslcd.conf
tls_reqcert allow
ssl start_tls
tls_cacertdir /etc/openldap/cacerts
tls_reqcert allow

如果我不使用 SSL，那么 ldap 客户端可以访问所有 ldap 用户。但是，当我通过 authconfig-tui 将配置更改为使用 TLS 时，ldaps://ad.xx.dev:636，它就会失败。

日志表明客户端成功连接到服务器，但随后服务器断开连接，如下所示：

ldapsearch -x -d 1
ldap_create
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP ad.dfsi.dev:636
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying xx.xx.xx.xx:636
ldap_pvt_connect: fd: 3 tm: -1 async: 0
attempting to connect: 
connect success
ldap_open_defconn: successful
ldap_send_server_request
ber_scanf fmt ({it) ber:
ber_scanf fmt ({i) ber:
ber_flush2: 14 bytes to sd 3
ldap_result ld 0x7f8f75e1d150 msgid 1
wait4msg ld 0x7f8f75e1d150 msgid 1 (infinite timeout)
wait4msg continue ld 0x7f8f75e1d150 msgid 1 all 1
** ld 0x7f8f75e1d150 Connections:
* host: ad.dfsi.dev  port: 636  (default)
  refcnt: 2  status: Connected
  last used: Tue Nov 29 15:01:28 2016


** ld 0x7f8f75e1d150 Outstanding Requests:
 * msgid 1,  origid 1, status InProgress
   outstanding referrals 0, parent count 0
  ld 0x7f8f75e1d150 request count 1 (abandoned 0)
** ld 0x7f8f75e1d150 Response Queue:
   Empty
  ld 0x7f8f75e1d150 response count 0
ldap_chkResponseList ld 0x7f8f75e1d150 msgid 1 all 1
ldap_chkResponseList returns ld 0x7f8f75e1d150 NULL
ldap_int_select
read1msg: ld 0x7f8f75e1d150 msgid 1 all 1
ber_get_next
ldap_err2string
ldap_result: Can't contact LDAP server (-1)
ldap_free_request (origid 1, msgid 1)
ldap_free_connection 1 1
ldap_free_connection: actually freed

运行 openssl 显示客户端无法在服务器上找到任何证书，这是不合理的，因为我已经在那里修复了所有内容：

# openssl s_client -showcerts -connect ad.dfsi.dev:636 
CONNECTED(00000003)
140330386184096:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake failure:s23_lib.c:184:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 247 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
---

nss-pam authconfg-tui 每次都会生成新的 CACERTDIR，覆盖之前的配置。因此，我还将证书文件放在了 /etc/openldap/cacerts 文件夹中。

我的客户端机器是 CentOS7，服务器是 Redhat ec2 实例。

有人能给我一些提示来解决这个问题吗？

答案1

启动TLS表示“显式 TLS”，其中连接在定期港口设立进而启动TLS命令被发送以启动SSL握手并切换到保护模式。

要连接，请尝试添加-Z或-ZZ切换到ldapsearch：

ldapsearch -x -d 1 -ZZ

是让客户使用 starttls

恐怕 OpenSSL 现在不支持 LDAP 协议的 starttls（man s_client有关-starttls参数，请参阅手册页）

答案2

只是为了清楚一点：您是否在 OpenLDAP 服务器中配置了 TLS 的使用？

您还需要设置一些参数。作为参考，请查看http://www.openldap.org/doc/admin24/tls.html#Server%20Configuration

据我了解，您的客户端连接到 LDAP 机器，但 LDAP 机器不知道要向客户端传送哪个证书。

您能验证或者证伪我的猜测吗？

答案3

您可能应该在您的 URL 中放入 ldaps: 而不仅仅是 ldap:

相关内容