LDAP mit TLS klappt nicht [sarge]

[Andreas Vögele <voegele@trustsec.de>]

Ich versuche gerade erfolglos TLS auf einem Sarge-System mit OpenLDAP 
2.1 zu aktivieren. Ohne TLS funktioniert der LDAP-Server. Die 
Zertifikate habe ich mit openssl s_server/s_client getestet. Versuche 
ich mit openssl s_client eine Verbindung zum LDAP-Server aufzubauen, 
erhalte ich auf der Client-Seite folgende Fehlermeldung:

SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
11144:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake 
failure:s23_lib.c:226:

slapd sagt:

TLS: can't accept.
TLS: Could not negotiate a supported cipher suite. (null):0

In der slapd.conf habe ich u.a. folgenden Eintrag:

TLSCiperSuite HIGH:MEDIUM:+SSLv2

ldapsearch gibt folgende Meldung aus:

ldap_start_tls: Connect error (91)
        additional info: A TLS packet with unexpected length was 
received.
ldap_bind: Can't contact LDAP server (81)
        additional info: A TLS packet with unexpected length was 
received.

Auf einem OpenBSD-Systeme habe ich einen anderen LDAP-Server am Laufen 
und keinerlei Probleme mit TLS. Ich dachte deswegen, dass es sich 
vielleicht um ein GnuTLS-Problem handelt, da OpenLDAP unter OpenBSD 
gegen OpenSSL anstelle von GnuTLS gebunden ist. Aber wenn ich das 
Debian-Paket mit OpenSSL baue, erhalte ich von slapd praktisch die 
gleiche Fehlermeldung wie bei der GnuTLS-Variante: "TLS: 
error:1408A0C1:SSL routines:SSL3_GET_CLIENT_HELLO:no shared cipher 
s3_srvr.c:888".

Hat jemand von Euch schon einmal dieses Problem mit OpenLDAP und TLS 
gehabt und vielleicht eine Lösung parat?

Attachment: PGP.sig
Description: Signierter Teil der Nachricht