Не работает репликация openldap tls. В чем причина?

Question

[Дмитрий Айткулов]

Добрый день! Имеются два сервера на centos 7. На них крутится openldap. Настраивал от сюда. Имена серверов Main и reserv. Между ними настроена репликация, настраивал от сюда. На Main сервере настроен tls пока что саморучно, настраивал от сюда позже купим нормальный сертификат.
Встала задача сделать репликацию по tls. В этом проблема.
Что было сделано:
В конфиге reserv сервера прописывал

starttls=yes
   tls_cert=/etc/openldap/certs/ldap.crt
   tls_key=/etc/openldap/certs/ldap.key
   tls_cacert=/etc/openldap/certs/ca-bundle.crt
   tls_reqcert=demand

назначал владельца сертификатам ldap.
указывал работать по протоколу
ldaps://host:636 и ldaps://host:389
Не работает, ни каким образом.
Пытался в ручную импортировать сертификаты в ОС - выдавало ошибку.
Заметил что где то люди используют сертификаты .pem а где то .crt.
.pem сертификаты еще не использовал.
Ткните носом в правильный конфиг.
Заранее всем спасибо!

Comments

[3vi1_0n3]

.crt называют файл сертификата, внутри он обычно в формате PEM. У вас вообще LDAPS работает? Аутентификация через него проходит? Отрабатывает ли StartTLS? Вы представляете, как это должно работать или пока не очень?

[Дмитрий Айткулов]

через ldapadmin я могу подключится всеми возможными вариантами. Но как это работает представляю тольло в теории и то смутно

Answer 1

[3vi1_0n3]

Вообще надо как-то более подробно смотреть. Но самое первое, что я бы проверил, есть ли корневой сертификат, которым подписан сертификат сервера, в файле из настройки tls_cacert.
> Пытался в ручную импортировать сертификаты в ОС - выдавало ошибку
Непонятно, как вы и в какую ОС импортировали и какие сертификаты. Чтобы в системе стал доступен корневой сертификат, которым подписан сертификат сервера, надо корневой сертификат положить в /etc/pki/tls/certs и сделать хэш-линк таким образом:

sudo ln -s ваш-корневой-сертификат.crt `openssl x509 -noout -hash -in ваш-корневой-сертификат.crt`

И проверить потом серверный сертификат при помощи
openssl verify ваш-сертификат-сервера.crt
P.S.: И настройки фаервола проверьте

Comments

[Дмитрий Айткулов]

ну как я понимаю на сервер reserv нужно добавить корневой сертификат main сервера, чтобы он начал понимать шифрованый трафик. На винде я так делал чтобы подключится к серверу ldap через ssl и получить адресную книгу. Но так как познаний в линуксе не особо много не пойму как это реализовать правильно.

[3vi1_0n3]

Дмитрий Айткулов: И корневой сертификат самого reserv-сервера. Если они у вас подписаны одним корневым, то его, соответственно, один раз. Попробуйте сначала из командой строки с резервного сервера подключиться к основному при помощи ldapsearch, проверьте, что TLS работает.

[Дмитрий Айткулов]

а в конфиге мне что прописывать для подключения репликации?!

[3vi1_0n3]

Дмитрий Айткулов: Если я правильно понимаю, что вы сделали - вы просто добавили поддержку LDAPS на резервный сервер. Вам надо настроить сначала TLS на основном сервере, потом проверить из консоли, что TLS работает, а потом, соответственно, настроить так, как по одной ссылке в вопросе написано. Но при этом поменять там provider=ldap://10.0.0.30:389/ на provider=ldaps://10.0.0.30:636/. Как-то так

[Дмитрий Айткулов]

хорошо, завтра протестим. Спасибо!!!

[Дмитрий Айткулов]

Пробовал всякие варианты с установкой корневого сертификата, ничего не помогало. После того как настроил reserv сервер на работу ssl(создал его собственные сертификаты) все заработало. Даже и не знаю в чем была причина

[Дмитрий Айткулов]

Кстати последний вопрос в секции пароля при настройке репликации
credentials=password
возможно ли его указать в шифрованном виде? А то чет как то страшно

[3vi1_0n3]

Дмитрий Айткулов: Вроде бы можно. Сначала сгенерить при помощи slappasswd, а потом в таком виде и подставить.

$ slappasswd -s pass123
{SSHA}AWfhDnqpI9vgPe9tHLF2YF/nDDK28iFl

Вставить всё, вместе с {SSHA}.

[Дмитрий Айткулов]

я пробовал так сделать, не работает((( есть еще варианты скрыть пароль?!

[3vi1_0n3]

Дмитрий Айткулов: Хм. Хороший вопрос, не готов сказать. Можно права доступа к файлу конфигурации slapd выставить таким образом, чтобы кроме пользователя, от которого работает slapd (и рута, естественно), никто файл читать не мог. Или использовать аутентификацию при помощи сертификатов. Или использовать SASL.