Eu tenho um sistema Debian 10 que foi configurado para conversar com um servidor OpenLDAP (10.5.5.35) para senha, grupo e shadow. Preciso mudar o host para um Duo Auth Proxy (10.5.5.50). Achei que poderia simplesmente alterar o endereço IP (uri) /etc/ldap.confe /etc/ldap/ldap.confmas a autenticação ainda vai para o endereço .35 (posso ver esse tráfego tcpdumpao fazer login).
my /etc/ldap/ldap.conf -> /etc/ldap.conf(eles são um link simbólico) estão diretamente abaixo. Curiosamente, alterar uripara algo completamente errado (1.1.1.1) não afeta a autenticação. Apenas utilitários CLI como ldapsearchfail:
uri ldap://10.5.5.35
base dc=corp,dc=net
nss_base_group ou=groups,dc=corp,dc=net
ldap_version 3
pam_password md5
ssl start_tls
tls_reqcert allow
TLS_CACERTDIR /etc/ssl/certs
ldap_version 3
pam_password crypt
pam_login_attribute uid
tls_reqcert never
bind_timelimit 60
pam_groupdn cn=ldapuser,ou=groups,dc=corp,dc=net
#
nss_initgroups_ignoreusers avahi,avahi-autoipd,backup,bin,colord,cyrus,daemon,debian-spamd,dnsmasq,dovecot,dovenull,freerad,games,gdm,gnats,haldaemon,hplip,irc,kernoops,landscape,libuuid,list,lp,mail,man,memcache,messagebus,mysql,nagios,news,ntp,nx,openldap,polkituser,postfix,proxy,root,saned,sshd,statd,stunnel4,sympa,sync,sys,syslog,uml-net,unscd,usbmux,uucp,whoopsie,www-data,xrdp
timelimit 60
idle_timelimit 60
/etc/nsswitch.conf
mfcb# cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap
hosts: files dns
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: nis
sudoers: files
Oldapos pacotes instalados no cliente são:
# dpkg -l | grep ldap | awk '{print $1" "$2}'
ii ldap-utils
ii libldap-2.4-2:amd64
ii libldap-common
ii libnet-ldap-perl
ii libnss-ldapd:amd64
ii libpam-ldapd:amd64
ii sudo-ldap
Não sei por que tenho os -ldapdpacotes instalados em vez do -ldap. Grande parte da documentação que encontrei hoje mostra os -ldappacotes sendo usados. Pesquisei em nosso sistema de tickets e aparentemente padronizamos -ldapdem 2018, quando a autenticação parou de funcionar repentinamente após uma atualização do Ubuntu. Devo observar que a maior parte da nossa infraestrutura é Ubuntu. O Debian representa apenas cinco dos nossos cerca de 60 hosts, portanto não estamos muito familiarizados com ele. No entanto, temos autenticação LDAP configurada/trabalhando em todos eles.
Tentei instalar os -ldappacotes, mas ele removeu meus arquivos /etc/ldap.confe /etc/ldap/ldap.confpor algum motivo e isso quebrou tudo.
Qual configuração/arquivo/daemon para reiniciar o Debian 10 está usando para descobrir com qual servidor LDAP conversar para autenticação?
Responder1
Apenas no caso de ajudar alguém, eu tive que mudar/etc/nslcd.confpara o novo servidor também e reinicie o nslcddaemon.