Dotaz: problémy s autentizací přes LDAP

[Milan Beneš]

Zdravím, mám tady problém, ze kterého už pomalu lezu po stropě. Rozchodil jsem autentizaci přes LDAP pomocí Gentoo LDAP howto, dá se říct, že to chodí, ale hází to do logu dost podivné věci.

toto je /etc/pam.d/system-auth:

auth            required        /lib/security/pam_env.so
auth            sufficient      /lib/security/pam_unix.so likeauth nullok shadow
auth            sufficient      /lib/security/pam_ldap.so use_first_pass
auth            required        /lib/security/pam_deny.so

account         sufficient      /lib/security/pam_unix.so
account         sufficient      /lib/security/pam_ldap.so
account         required        /lib/security/pam_deny.so

password        required        /lib/security/pam_cracklib.so retry=3
password        sufficient      /lib/security/pam_unix.so nullok use_authtok shadow md5
password        sufficient      /lib/security/pam_ldap.so use_authtok
password        required        /lib/security/pam_deny.so

session         required        /lib/security/pam_limits.so
session         required        /lib/security/pam_unix.so
session         required        /lib/security/pam_mkhomedir.so skel=/etc/skel/ umask=0
session         optional        /lib/security/pam_ldap.so

a toto se zjevuje v logu:

Security Violations
=-=-=-=-=-=-=-=-=-=
Mar  7 21:38:24 [sshd(pam_unix)] authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=orthank.middleearth 
Mar  7 21:56:25 [imap(pam_unix)] authentication failure; logname= uid=0 euid=0 tty= ruser= rhost= 
Mar  7 22:04:14 [sshd(pam_unix)] authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=orthank.middleearth 
Mar  7 21:56:25 [imap(pam_unix)] authentication failure; logname= uid=0 euid=0 tty= ruser= rhost= 
Mar  7 22:04:14 [sshd(pam_unix)] authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=orthank.middleearth 

Unusual System Events
=-=-=-=-=-=-=-=-=-=-=
                - Last output repeated 2 times -
Mar  7 21:37:59 [sshd] Received signal 15; terminating.
Mar  7 21:38:00 [sshd] Server listening on 0.0.0.0 port 22.
Mar  7 21:38:24 [sshd(pam_unix)] check pass; user unknown
Mar  7 21:38:24 [sshd(pam_unix)] authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=orthank.middleearth 
Mar  7 21:38:24 [sshd] Accepted keyboard-interactive/pam for saruman from 192.168.0.2 port 1322 ssh2
Mar  7 21:38:24 [sshd(pam_unix)] session opened for user saruman by (uid=0)
Mar  7 21:38:24 [sshd] nss_ldap: reconnecting to LDAP server...
Mar  7 21:38:24 [sshd] nss_ldap: reconnected to LDAP server after 1 attempt(s)
Mar  7 21:38:42 [sshd(pam_unix)] session closed for user saruman
Mar  7 21:41:50 [imapd-ssl] LOGOUT, user=saruman, ip=[192.168.0.2], headers=2398, body=28291, time=3556, starttls=1
Mar  7 21:46:53 [su(pam_unix)] session closed for user root
Mar  7 21:46:54 [sshd(pam_unix)] session closed for user saruman
Mar  7 21:56:25 [authdaemond] nss_ldap: reconnecting to LDAP server...
Mar  7 21:56:25 [authdaemond] nss_ldap: reconnected to LDAP server after 1 attempt(s)
Mar  7 21:56:25 [imap(pam_unix)] check pass; user unknown
Mar  7 21:56:25 [imap(pam_unix)] authentication failure; logname= uid=0 euid=0 tty= ruser= rhost= 
Mar  7 21:56:26 [imapd-ssl] LOGIN, user=saruman, ip=[192.168.0.2], protocol=IMAP
Mar  7 22:04:14 [sshd(pam_unix)] check pass; user unknown
Mar  7 22:04:14 [sshd(pam_unix)] authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=orthank.middleearth 
Mar  7 22:04:14 [sshd] Accepted keyboard-interactive/pam for saruman from 192.168.0.2 port 1442 ssh2
Mar  7 22:04:14 [sshd(pam_unix)] session opened for user saruman by (uid=0)
Mar  7 22:04:14 [sshd] nss_ldap: reconnecting to LDAP server...
Mar  7 22:04:14 [sshd] nss_ldap: reconnected to LDAP server after 1 attempt(s)
                - Last output repeated twice -
Mar  7 21:56:25 [imap(pam_unix)] authentication failure; logname= uid=0 euid=0 tty= ruser= rhost= 
Mar  7 22:04:14 [sshd(pam_unix)] authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=orthank.middleearth 
Mar  7 21:41:50 [imapd-ssl] LOGOUT, user=saruman, ip=[192.168.0.2], headers=2398, body=28291, time=3556, starttls=1
Mar  7 21:56:25 [imapd-ssl] Connection, ip=[192.168.0.2]
Mar  7 21:56:26 [imapd-ssl] LOGIN, user=saruman, ip=[192.168.0.2], protocol=IMAP

Na netu se to dost probírá, ale zatím jsem nenarazil na uspokojivé řešení.

Odpovědi

[Roman DAVID]

Mam podobny problem, nainstaloval jsem 2 stroje, jeden to nedelal a druhy to dela. Nedari se mi prijit na to, proc to dela, takze jsem to ulozil k ledu.

[Milan Beneš]

No super, konečně někdo, komu to alespoň na jedné mašině chodí.

Mohl bych poprosit o /etc/ldap.conf, /etc/openldap/ldap.conf, /etc/nsswitch a /etc/pam.d/*

z toho funkčního počítače?

Budu velmi zauzlován.

saruman(na)milan-benes.no-ip.info

[Roman DAVID]

Problem je ten, ze ten "funkcni" uz nemam dostupny.
Ale porovnaval jsem je mezi sebou (konfigurace) a byly naprosto shodne.
Prave proto jsem pak nekolik dni patral, proc to dela a na nic jsem neprisel.
Pouzivam LDAP pro POP3 a SMTP.
Nakonec jsem uplne ocesal pam konfiguraci pro tyto sluzby a dela to porad

Btw. neporadite, jak nastavit quotu pro usery v ldapu ?
Mam pro ldap prirazene uid 550-50000 (momentalne obsazeno asi 550-2500).
Vygenerovat quotu pro vsech 49450 uid predem mi pripada zbytecne, ale lepsi napad nemam.

[Milan Beneš]

No, s quotama bohužel netuším, tak daleko jsem se ještě nedostal.

Nicméně se mi podařilo vyřešit ten problém s logováním, ještě ten konfigurák musím trochu upravit, aby vypadal trochu reprezentativně a potom ho sem pošlu.

[Milan Beneš]

nový /etc/pam.d/system-auth:

auth            required        /lib/security/pam_env.so
auth            sufficient      /lib/security/pam_ldap.so
auth            sufficient      /lib/security/pam_unix.so likeauth nullok shadow use_first_pass
auth            required        /lib/security/pam_deny.so

account         sufficient      /lib/security/pam_ldap.so
account         sufficient      /lib/security/pam_unix.so
account         required        /lib/security/pam_deny.so

password        required        /lib/security/pam_cracklib.so retry=3
password        sufficient      /lib/security/pam_ldap.so use_authtok
password        sufficient      /lib/security/pam_unix.so nullok use_authtok shadow md5
password        required        /lib/security/pam_deny.so

session         required        /lib/security/pam_limits.so
session         required        /lib/security/pam_ldap.so
session         required        /lib/security/pam_mkhomedir.so skel=/etc/skel/ umask=0
session         optional        /lib/security/pam_unix.so

[Roman DAVID]

No a v ktere polozce byla ta chyba ?

[Milan Beneš]

No, ony se ty soubory celkem liší...

[Zdeněk Štěpánek]

Zdravim

Ja teda nepouzivam LDAP ale NIS ale to je stejne sumak...

Vadi mi tam "rhost=orthank.middleearth". Takhle se skutecne jmenuje nejakej tvuj komp? Neni to nejakej default?

Zdenek

[Milan Beneš]

No jasně že se jmenuje. Jeden workstation je orthank, další je hobbiton, notebook je barad-dur a server je osgiliath. Ale to jenom na okraj.

Řekl bych, že mezi LDAPem a NISem je docela rozdíl, já chci mít ještě na LDAPu mailové accounty (hotovo) a Sambí backend (porod).