Dotaz: ldap.conf a Debian

[Jirka V.]

Ahoj, pouzivam LDAP na Debianu a chtel jsem si nastavit sifrovanou komunikaci. Zatim teda jeste nevim presne, jak na to, ale vsude ctu, ze mam editovat soubor ldap.conf -- ja ale tady zadny takovy nemam.. Kde se to v Debianu nastavuje?

Odpovědi

[timeos]

V debiane sa uvedeny subor nazyva (/etc/)libnss-ldap.conf. Nezabudnite, ze editaciou si nanajvys posahate spojenie s LDAP serverom v pripade, ze na strane LDAP servera nebolo sifrovanie aktivovane/povolene.

[Jirka V.]

>> Nezabudnite, ze editaciou si nanajvys posahate spojenie s LDAP serverom v pripade, ze na strane LDAP servera nebolo sifrovanie aktivovane/povolene.

omlouvam se, ale nejak nechapu, co timhle myslite, muzete to nejak priblizit?

[timeos]

Jednoducho to, ze nato, aby ste mohli pouzivat sifrovanie, musi sifrovanie podporovat aj LDAP server. Spociva to v:

1. vygenerovanie serverovych certifikatov
2. upravit konfiguraciu pre ich pouzitie
3. (volitelne) aktivovany secure ldaps:// port 636

...proste nieco na tento sposob.

[Jirka V.]

tak jsem udelal tohle:

uri ldaps://...
ssl on
tls_cacertfile /etc/path/to/ca.pem
a zakomentujete ssl start_tls

a porad mi to jede na portu ldap 389, port 636 je stale zavreny.. co delam blbe?

[Jirka V.]

PS: certifikaty mam

[timeos]

Neviem na co vsetko pouzivate LDAP... ci len na mennu sluzbu NSS alebo aj na autentifikaciu. Ak aj autentifikaciu, tak treba uparvit podobne ako libnss-ldap.conf aj (/etc/)pam_ldap.conf.

Co myslite tym "port 636 je stale zavreny"? ked date netstat -an, vidite port 636 ako LISTEN?

[Jirka V.]

tak jsem upravil na vasi radu i druhy soubor podle prikladu vyse, ale port 636 v netstat neni vubec, takze je porad zavreny ... po zmenach jsem samozrejme LDAP restartoval..

[timeos]

Upravou hociktoreho z uvenenych konfigov nedocielite aktivovanie portu 636 ... Ako som vyssie pisal, toto musite spravit na strane servera (napr OpenLDAP server ak pouzivate ten) a nie klienta (sluzby NSS a PAM vyzuivaju LDAP z pohladu klienta). V klietovi dokazete nastavit, aby sa na server pripajal na port 636, ale pokial ten port nebude otvoreny na serveri, tak je ta komunikacia jalova .

Skuste postupovat napr. podla linku z predchadzajuceho prispevku, alebo si vygooglite "openldap tls" ak teda openldap ako server aj pouzivate.

[pht]

Jak bylo napsáno, tady je potřeba odlišit nastavení LDAP serveru a klienta.

ldap.conf je konfigurace KLIENTA, kterého používá jmenná služba NSS.

[Jirka V.]

Aha, ja vse nastavoval na serveru.. takze se do toho pustim jeste jednou a poradne ;)

[Hanz]

Ahoj, povedlo se? Chtel bych to taky zprovoznit.

[Jirka V.]

Bohuzel, nevim co mam menit na serveru a na klientech.. jsem z toho zmateny.. ale nevzdavam to

[pht]

Nechcete trochu popsat tu svoji konfiguraci? Co je server, co je klient, jaký používáte LDAP server, na co ho využíváte, ... ?

[Jirka V.]

No, LDAP vyuzivam jako uloziste udaju a hesla o uzuivateli pro prihlaseni do Win domeny, na Sambu. Hesla tam maji i linuxovi klienti..

[pht]

Nějak podrobněji?