Tengo un sistema Debian 10 que fue configurado para comunicarse con un servidor OpenLDAP (10.5.5.35) para contraseña, grupo y sombra. Necesito cambiar el host a un Duo Auth Proxy (10.5.5.50). Pensé que podría simplemente cambiar la dirección IP (uri) en /etc/ldap.confy /etc/ldap/ldap.confpero la autenticación todavía va a la dirección .35 (puedo ver este tráfico tcpdumpal iniciar sesión).
my /etc/ldap/ldap.conf -> /etc/ldap.conf(son un enlace simbólico) están directamente debajo. Curiosamente, cambiar uria algo completamente erróneo (1.1.1.1) no afecta la autenticación. Sólo las utilidades CLI como ldapsearchfallan:
uri ldap://10.5.5.35
base dc=corp,dc=net
nss_base_group ou=groups,dc=corp,dc=net
ldap_version 3
pam_password md5
ssl start_tls
tls_reqcert allow
TLS_CACERTDIR /etc/ssl/certs
ldap_version 3
pam_password crypt
pam_login_attribute uid
tls_reqcert never
bind_timelimit 60
pam_groupdn cn=ldapuser,ou=groups,dc=corp,dc=net
#
nss_initgroups_ignoreusers avahi,avahi-autoipd,backup,bin,colord,cyrus,daemon,debian-spamd,dnsmasq,dovecot,dovenull,freerad,games,gdm,gnats,haldaemon,hplip,irc,kernoops,landscape,libuuid,list,lp,mail,man,memcache,messagebus,mysql,nagios,news,ntp,nx,openldap,polkituser,postfix,proxy,root,saned,sshd,statd,stunnel4,sympa,sync,sys,syslog,uml-net,unscd,usbmux,uucp,whoopsie,www-data,xrdp
timelimit 60
idle_timelimit 60
/etc/nsswitch.conf
mfcb# cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap
hosts: files dns
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: nis
sudoers: files
ElldapLos paquetes instalados en el cliente son:
# dpkg -l | grep ldap | awk '{print $1" "$2}'
ii ldap-utils
ii libldap-2.4-2:amd64
ii libldap-common
ii libnet-ldap-perl
ii libnss-ldapd:amd64
ii libpam-ldapd:amd64
ii sudo-ldap
No estoy seguro de por qué tengo los -ldapdpaquetes instalados en lugar de -ldap. Gran parte de la documentación que encontré hoy muestra los -ldappaquetes que se utilizan en su lugar. Lo busqué en nuestro sistema de tickets y aparentemente lo estandarizamos -ldapden 2018, cuando la autenticación dejó de funcionar repentinamente después de una actualización de Ubuntu. Debo señalar que la mayor parte de nuestra infraestructura es Ubuntu. Debian constituye sólo cinco de nuestros 60 hosts, por lo que no está muy familiarizado con él. Sin embargo, tenemos la autenticación LDAP configurada/funcionando en todos ellos.
Intenté instalar los -ldappaquetes pero eliminó mis archivos /etc/ldap.confy /etc/ldap/ldap.confpor alguna razón y eso prácticamente rompió todo.
¿Qué configuración/archivo/daemon-to-restart usa Debian 10 para determinar con qué servidor LDAP hablar para la autenticación?
Respuesta1
Por si a alguien le sirve, tuve que cambiar./etc/nslcd.confal nuevo servidor también y reinicie el nslcddemonio.