Re: LDAP TLS probleem
op 07-06-14 06:41, Geert Stappers schreef:
> Op 2014-06-06 om 22:07 schreef Paul van der Vlis:
>> op 05-06-14 20:46, Jan-Rens Reitsma schreef:
>>> Paul van der Vlis schreef op di 03-06-2014 om 17:03 [+0200]:
>>>> Hallo,
>>>>
>>>> Als ik in /etc/ldap/ldap.conf "TLS_REQCERT demand" heb staan dan werkt
>>>> LDAP niet. Of om precies te zijn: soms werkt het even, maar daarna niet
>>>> meer.
>>>>
>>>> De foutmelding van ldapsearch is:
>>>> ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
>>>>
>>>> Als ik "TLS_REQCERT never" gebruik in ldap.conf dan is dit probleem er
>>>> niet, maar dat is minder veilig.
>>>>
>>
>> Het bleek dat het root-certificaat verlopen was. Blijkbaar checked een
>> Debian 6 client dat niet, en een Debian 7 client wel.
>>
>> Dat is eigenlijk wel een flinke bug in Debian 6 lijkt me.
>
> reportbug
Zal ik overwegen.
>>> Ik las over LDAP dat je altijd LDAP moet gebruiken als het kan (zoals op
>>> een LAN, intranet) maar LDAPS (TCP-poort 686) moet gebruiken voor
>>> uitwisseling van gevoelige info op lijnen die onveilig zouden kunnen
>>> zijn (zoals over internet). Ik weet niet of je hier iets aan hebt.
>>
>> Waarom onbeveiligd over het LAN als het ook beveiligd kan?
>
> Omdat je in huis geen jas aan hebt,
> je doet een jas aan als je naar buiten gaat.
Een jas doe je thuis uit omdat het anders te warm is, of ongemakkelijk
zit. Maar je gebruikt lokaal toch ook geen telnet in plaats van SSH?
Ik gebruik lokaal steeds meer dezelfde technieken als via internet, en
ga er steeds minder vanuit dat een LAN wel veilig is.
>> Maar er zijn meer redenen dat ik hier LDAPS wil gebruiken.
>
> Daar ben ik wel benieuwd naar.
1. Het gaat om een grote organisatie, er lopen daar soms hackers rond.
2. De backend van Kerberos staat in LDAP, dus ook alle paswoorden.
3. De LDAP wordt ook gerepliceerd naar andere locaties via internet,
tenminste dat is de bedoeling voor de toekomst.
4. De homedirectories staan daar op NFS, soms werken mensen ook op een
andere locatie. We willen gaan kijken of dat via internet gaat.
Groet,
Paul.
--
Paul van der Vlis Linux systeembeheer, Groningen
http://www.vandervlis.nl
Reply to: