I have a Debian 10 system which was configured to talk to an OpenLDAP server (10.5.5.35) for password, group and shadow. I need to switch the host over to a Duo Auth Proxy (10.5.5.50). I thought I could just change the IP address (uri) angemeldet /etc/ldap.conf, /etc/ldap/ldap.confaber die Authentifizierung erfolgt weiterhin an die .35-Adresse (ich kann diesen Datenverkehr tcpdumpbeim Anmelden sehen).
meine /etc/ldap/ldap.conf -> /etc/ldap.conf(es handelt sich um einen Symlink) sind direkt darunter. Interessanterweise urihat die Änderung in etwas völlig Falsches (1.1.1.1) keine Auswirkungen auf die Authentifizierung. Nur CLI-Hilfsprogramme wie ldapsearch:
uri ldap://10.5.5.35
base dc=corp,dc=net
nss_base_group ou=groups,dc=corp,dc=net
ldap_version 3
pam_password md5
ssl start_tls
tls_reqcert allow
TLS_CACERTDIR /etc/ssl/certs
ldap_version 3
pam_password crypt
pam_login_attribute uid
tls_reqcert never
bind_timelimit 60
pam_groupdn cn=ldapuser,ou=groups,dc=corp,dc=net
#
nss_initgroups_ignoreusers avahi,avahi-autoipd,backup,bin,colord,cyrus,daemon,debian-spamd,dnsmasq,dovecot,dovenull,freerad,games,gdm,gnats,haldaemon,hplip,irc,kernoops,landscape,libuuid,list,lp,mail,man,memcache,messagebus,mysql,nagios,news,ntp,nx,openldap,polkituser,postfix,proxy,root,saned,sshd,statd,stunnel4,sympa,sync,sys,syslog,uml-net,unscd,usbmux,uucp,whoopsie,www-data,xrdp
timelimit 60
idle_timelimit 60
/etc/nsswitch.conf
mfcb# cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap
hosts: files dns
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: nis
sudoers: files
DerLDAPAuf dem Client installierte Pakete sind:
# dpkg -l | grep ldap | awk '{print $1" "$2}'
ii ldap-utils
ii libldap-2.4-2:amd64
ii libldap-common
ii libnet-ldap-perl
ii libnss-ldapd:amd64
ii libpam-ldapd:amd64
ii sudo-ldap
Ich bin mir nicht sicher, warum ich die -ldapdPakete statt installiert habe -ldap. Ein Großteil der Dokumentation, die ich heute gefunden habe, zeigt, dass -ldapstattdessen die Pakete verwendet werden. Ich habe es in unserem Ticketsystem nachgeschlagen und wir haben anscheinend -ldapd2018 auf standardisiert, als die Authentifizierung nach einem Ubuntu-Upgrade plötzlich nicht mehr funktionierte. Ich sollte anmerken, dass der Großteil unserer Infrastruktur Ubuntu ist. Debian macht nur fünf unserer rund 60 Hosts aus, daher sind wir nicht besonders vertraut damit. Wir haben jedoch auf allen eine LDAP-Authentifizierung konfiguriert/funktioniert.
Ich habe versucht, die -ldapPakete zu installieren, aber aus irgendeinem Grund wurden dabei meine Dateien entfernt /etc/ldap.conf, /etc/ldap/ldap.confwodurch praktisch alles kaputt ging.
Welche Konfiguration/Datei/welchen neu zu startenden Daemon verwendet Debian 10, um herauszufinden, mit welchem LDAP-Server zur Authentifizierung kommuniziert werden muss?
Antwort1
Nur für den Fall, dass es irgendjemandem hilft, ich musste ändern/etc/nslcd.confauch auf den neuen Server und starten Sie den nslcdDaemon neu.