16.04: Как указать центр сертификации с ldapsearch
Я пытался отладить подключение LDAP, поэтому я установил ldapsearch через sudo apt install ldap-utils. Вот вывод команды:
# ldapsearch -x -LLL -H ldaps://myip -d1 -ZZ
ldap_url_parse_ext(ldaps://myip)
ldap_create
ldap_url_parse_ext(ldaps://myip/??base)
ldap_extended_operation_s
ldap_extended_operation
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP myip:636
ldap_new_socket: 4
ldap_prepare_socket: 4
ldap_connect_to_host: Trying myip:636
ldap_pvt_connect: fd: 4 tm: -1 async: 0
attempting to connect:
connect success
TLS: peer cert untrusted or revoked (0x42)
TLS: can't connect: (unknown error code).
ldap_err2string
ldap_start_tls: Can't contact LDAP server (-1)
additional info: (unknown error code)
В частности, я фокусируюсь на этой строке: TLS: peer cert untrusted or revoked (0x42)
Я сделал некоторые поисковые запросы и нашел людей, объясняющих установку этого параметра в файле, который существует в каталоге с именем /etc/openldap. Однако этот каталог не существует на машине - он, кажется, не был создан во время установки ldap-utils.
Я не могу понять, есть ли способ сказать ldapsearch, чтобы игнорировать уровень доверия сервера или передавать какой-либо ЦС. Какое уместное решение здесь, чтобы продолжить тестирование соединения?
3 ответа
Добавьте следующую строку в /etc/ldap/ldap.conf: TLS_REQCERT never
Это предотвратит проверку ldapsearch сертификатом. Так что не самый безопасный вариант. Вы можете указать сертификат ЦС с TLS_CACERT /path/to/trusted/ca
-
1Благодаря! Это сделало трюк для моих целей тестирования. Для всех, кто возится с установкой Windows LDAPS AD, вот тестовая команда, которая должна вернуть информацию пользователя, после внесения изменения, упомянутого в приведенном выше ответе: ldapsearch -x -LLL -H ldaps://YOUR_HOST -w 'LDAP_PASS' -D 'LDAP_BIND' -b "DC=lan" 'sAMAccountName=SOME_USER' -d1 - -d1 предоставит более подробную информацию об отладке. – vcardillo 24 May 2017 в 01:45
Добавьте следующую строку в /etc/ldap/ldap.conf: TLS_REQCERT never
Это предотвратит проверку ldapsearch сертификатом. Так что не самый безопасный вариант. Вы можете указать сертификат ЦС с TLS_CACERT /path/to/trusted/ca
Добавьте следующую строку в /etc/ldap/ldap.conf: TLS_REQCERT never
Это предотвратит проверку ldapsearch сертификатом. Так что не самый безопасный вариант. Вы можете указать сертификат ЦС с TLS_CACERT /path/to/trusted/ca