Re: [libnss-ldapd] Bekomme SSL/TLS nicht zum laufen

[Peter Jordan <usernetwork@gmx.info>]

Klemens Kittan, Wed Jun 24 2009 08:07:35 GMT+0200 (CEST):
> Hallo,
>
> ich habe auf Clientseite, in der libnss-ldap.conf, den Port auf 636 abgeändert 
> (# Optional: default is 389).
>
> libnss-ldap.conf/pam_ldap.conf:
> uri ldaps://server
> port 636
> tls_checkpeer yes
> tls_cacertfile /etc/ssl/certs/CA.pem
>
> ldap.conf:
> URI     ldaps://server
> TLS_CACERT /etc/ssl/certs/CA.pem
> TLS_REQCERT demand
>
> Gruß,
> Klemens
>
> > Hallo,
> >
> > ich habe mir einen slapd server eingerichtet um dort die Nutzerdaten
> > zu hinterlegen. Auf den clients habe ich libnss-ldapd und libpam-ldap
> > installiert. Systeme sind alle debian lenny.
> >
> > Solange ich ldap:/// verwende, funktioniert das ganze einwandfrei.
> >
> > Jetzt wollte ich gestern SSL Verschlüsselung einrichten.
> >
> > Auf dem Server habe ich folgende Änderungen vorgenommen:
> > /etc/ldap/slapd.conf
> > +TLSCertificateFile /etc/ldap/ldap.crt
> > +TLSCertificateKeyFile /etc/ldap/ldap.key
> > +TLSVerifyClient 0
> >
> > ls -l /etc/ldap/ldap.{crt,key}
> > -rw-r----- 1 root openldap 1732 Jun 22 14:44 /etc/ldap/ldap.crt
> > -rw-r----- 1 root openldap 1675 Jun 22 14:45 /etc/ldap/ldap.key
> >
> > /etc/ldap/ldap.conf
> > -URI     ldap://ldap.intern
> > +URI     ldaps://ldap.intern
> > +TLS_CACERT /etc/ssl/certs/cacert.org.pem
> >
> > /etc/default/slapd
> > +SLAPD_SERVICES="ldaps:///"
> >
> > Nach "/etc/init.d/slapd restart" funktioniert auf dem ldap Server
> > ein "ldapsearch -x" einwandfrei.
> >
> > Auf dem Client habe ich jetzt in /etc/pam_ldap.conf und
> > /etc/nss-ldapd.conf die uri von ldap auf ldaps gestellt.
> >
> > Dies hat nach Neustart von nscd und nslcd zu folgenden nichtssagenden
> > Fehlermeldungen geführt:
> >
> > nslcd[1663]: [3c9869] failed to bind to LDAP server ldaps://ldap.intern:
> > Can't contact LDAP server: Operation now in progress
> > nslcd[1663]: [3c9869] no available LDAP server found, sleeping 1 seconds
> > nslcd[1663]: [3c9869] no available LDAP server found
> >
> > Ich habe jetzt seit gestern immer wieder versucht mit den TLS/SSL
> > Optionen aus man nss-ldapd.conf eine funktionierende Konfiguration
> > hinzubekommen, aber ohne Erfolg. Auch bei google habe ich nichts gefunden.
> >
> > Hat vielleicht jemand eine funktionierende sldapd/libnss-ldapd mit SSL
> > Konfiguration und/oder kann mir sagen, was ich welchen
> > Konfigurationsdateien hinzufügen muss, damit die Übertragung zwischen
> > Client und Server verschlüsselt erfolgt?
> >
> > Vielen, vielen, vielen Dank.
> >
> > PJ

Nach folgenden Änderungen an der /etc/ldap/ldap.conf des Clients
scheint es jetzt zu funktionieren:
-#URI   ldap://ldap.example.com ldap://ldap-master.example.com:666
+URI    ldaps://ldap.intern
+TLS_CACERT /etc/ssl/certs/cacert.org.pem
+TLS_REQCERT demand

Vielen Dank für die Hilfe,

PJ