Dotaz: PhpLdapAdmin ssl nefunguje

[slls]

Mám nastavený openldap server pro ssl připojení. Používám certifikáty od startssl.com. sudo -u www-data ldapsearch -xLLL mi vypíše v pořádku celý adresářový strom na ldap serveru, takže vím, že server je nakonfigurovaný správně(má povoleny pouze ssl spojení a taky v logu na serveru vidím úspěšný tls handshake, bind apod.

/etc/ldap/ldap.conf

BASE    dc=domena,dc=cz
URI     ldaps://ldap.domena.cz

TLS_CACERT /etc/ssl/ca-bundle.pem
TLS_REQCERT demand

Na té samé mašině, ze které zkouším ten ldapsearch mám nastaven phpldapadmin(který přes nešifrované spojení fungoval) - ten ale přes ssl nejede:

Unable to connect to LDAP server My LDAP Server
Chyba: Can't contact LDAP server (-1) for anon
error	Failed to Authenticate to server
Invalid Username or Password.

Přitom po této akci je na serveru openldapu v logu toto:

Jun 27 00:58:35 ldap slapd[1846]: conn=1 fd=16 ACCEPT from IP=10.1.0.2:54980 (IP=0.0.0.0:636)
Jun 27 00:58:35 ldap slapd[1846]: conn=1 fd=16 TLS established tls_ssf=128 ssf=128
Jun 27 00:58:35 ldap slapd[1846]: conn=1 fd=16 closed (connection lost)

v configu phpldapadmina je toto:

$servers->setValue('server','host','ldaps://ldap.domena.cz');

$servers->setValue('server','port','636');

/* The port your LDAP server listens on (no quotes). 389 is standard. */
$servers->setValue('server','tls',false);

Tak proč to nefunguje?

Odpovědi

[NN]

Mozna, ze ta TLS vrstva funguje v poradku, ale k overeni uzivatele presto nedojde:

Invalid Username or Password

Takze problem muze byt nekde jinde..

NN

[slls]

To si nemyslím. Divná mi přišla ta trojice v logu(accept, tls established a potom hned closed). Nakonec jsem zjistil co je patrně příčinou toho rychlého ukončení. Tu samou hlášku jsem totiž dostal přes ldapsearch pokud jsem zakomentoval v /etc/ldap/ldap.conf certifikát CA. Takže nejspíš je problém s tím, že phpldapadmin to neověřuje oproti CA. Ale proč? Podle všeho by měl také číst /etc/ldap/ldap.conf(který je čitelný pro všechny uživatele).

[slls]

Možná to má něco společného s tímto: pokud jsem instalovat startssl certifikát třeba do dovecotu, tak stačilo uvést certifikát, klíč a ca-bundle.pem přímo na serveru. Klient už měl importovaný jen ca.pem dané autority a všechny sub class certifikáty vydané pomocí startssl byly díky ca-bundle.pem důvěryhodné. Jenže tenhle postup nefunguje na openldap. Teď jsem totiž zjistil, že pokud se snažím připojit k ldap pomocí ssl z windows(pomocí pgina), tak(ačkoliv jsem importovat ca-bundle.crt) se to nepodaří(v logu na serveru je ale tls negotiation failure).