У меня есть система Debian 10, которая была настроена на взаимодействие с сервером OpenLDAP (10.5.5.35) для пароля, группы и тени. Мне нужно переключить хост на Duo Auth Proxy (10.5.5.50). Я думал, что могу просто изменить IP-адрес (ури) в /etc/ldap.confи, /etc/ldap/ldap.confно аутентификация все еще идет по адресу .35 (я вижу этот трафик tcpdumpпри входе в систему).
мои /etc/ldap/ldap.conf -> /etc/ldap.conf(они являются символической ссылкой) находятся прямо ниже. Достаточно интересно, что изменение uriна что-то совершенно ошибочное (1.1.1.1) не влияет на аутентификацию. Только утилиты CLI, такие как ldapsearchfail:
uri ldap://10.5.5.35
base dc=corp,dc=net
nss_base_group ou=groups,dc=corp,dc=net
ldap_version 3
pam_password md5
ssl start_tls
tls_reqcert allow
TLS_CACERTDIR /etc/ssl/certs
ldap_version 3
pam_password crypt
pam_login_attribute uid
tls_reqcert never
bind_timelimit 60
pam_groupdn cn=ldapuser,ou=groups,dc=corp,dc=net
#
nss_initgroups_ignoreusers avahi,avahi-autoipd,backup,bin,colord,cyrus,daemon,debian-spamd,dnsmasq,dovecot,dovenull,freerad,games,gdm,gnats,haldaemon,hplip,irc,kernoops,landscape,libuuid,list,lp,mail,man,memcache,messagebus,mysql,nagios,news,ntp,nx,openldap,polkituser,postfix,proxy,root,saned,sshd,statd,stunnel4,sympa,sync,sys,syslog,uml-net,unscd,usbmux,uucp,whoopsie,www-data,xrdp
timelimit 60
idle_timelimit 60
/etc/nsswitch.conf
mfcb# cat /etc/nsswitch.conf
passwd: files ldap
group: files ldap
shadow: files ldap
hosts: files dns
networks: files
protocols: db files
services: db files
ethers: db files
rpc: db files
netgroup: nis
sudoers: files
TheldapНа клиенте установлены следующие пакеты:
# dpkg -l | grep ldap | awk '{print $1" "$2}'
ii ldap-utils
ii libldap-2.4-2:amd64
ii libldap-common
ii libnet-ldap-perl
ii libnss-ldapd:amd64
ii libpam-ldapd:amd64
ii sudo-ldap
Я не уверен, почему у меня -ldapdустановлены пакеты вместо -ldap. Большая часть документации, которую я нашел сегодня, показывает, что -ldapвместо этого используются пакеты. Я посмотрел в нашей системе тикетов, и, по-видимому, мы стандартизировали ее -ldapdеще в 2018 году, когда аутентификация внезапно перестала работать после обновления Ubuntu. Должен отметить, что большая часть нашей инфраструктуры — это Ubuntu. Debian установлен только на пяти из наших 60 хостов, поэтому я не очень хорошо с ним знаком. Однако у нас настроена/работает аутентификация LDAP на всех из них.
Я попытался установить -ldapпакеты, но по какой-то причине они удалили мои /etc/ldap.confфайлы /etc/ldap/ldap.conf, и это практически все сломало.
Какой config/file/daemon-to-restart использует Debian 10, чтобы выяснить, к какому серверу LDAP обращаться для аутентификации?
решение1
На всякий случай, если это поможет кому-то еще, мне пришлось изменить/etc/nslcd.confна новый сервер и перезапустите nslcdдемон.