☰

LDAP 正在工作，但 LDAP 不正確

tag-icon • tag-icon linux ldap centos7
LDAP 正在工作，但 LDAP 不正確

我對 ldapsearch 有點迷失...我必須使用 AD 身份驗證配置雲端。

這運作良好

 ldapsearch -h server -p 389 -x -D 'admin.test' -w 'xxx' -b 'cn=admin.test,cn=users,dc=domain,dc=com'

但我想採取一些安全措施，所以我嘗試了 ldaps。

這是工作：

> ldapsearch -H ldaps://server -x -D 'admin.test' -w 'xxx' -b 'cn=admin.test,cn=users,dc=domain,dc=com'

這也是：

> ldapsearch -H ldaps://server:636 -x -D 'admin.test' -w 'xxx' -b 'cn=admin.test,cn=users,dc=domain,dc=com'

但這行不通。

ldapsearch -h server -p 636 -x -D 'admin.test' -w 'xxx' -b 'cn=admin.test,cn=users,dc=domain,dc=com' -v
ldap_initialize( ldap://srv-dc01.get.com:636 )
ldap_result: Can't contact LDAP server (-1)

我不知道發生了什麼事。雲端需要一個 URL，而不是 URI。 其他問題，是否可以阻止 ldap 並讓 ldaps 工作？

作業系統：帶有 selinux Enforced DC 的 Linux CentOS 7 在伺服器 2008 R2 上。

非常感謝。問候， 亞歷山大

答案1

更新：

從這一頁看起來

完全合格的域名是總是需要的使用 -h 選項。這可以防止中間人攻擊。

然後：

儘管支援使用 ldaps 協議，但它已被棄用。

更多，來自man ldapsearch：

-H：指定執行 ldap 伺服器的備用主機。已棄用，取而代之的是 -H。

僅允許安全連接，請查看這裡，或另一個簡單的解決方案是 iptable 規則：

iptables -A OUTPUT -p tcp --dport 389 -j DROP
iptables -A INPUT  -p tcp --destination-port 389  -j DROP

答案2

謝謝，我嘗試了 -Z 和 -ZZ。

 ldapsearch -h server -p 636 -x -D 'admin.test' -w 'xxx' -b cn=admin.test,cn=users,dc=domain,dc=com' -v -Z
ldap_initialize( ldap://server.domain.com:636 )
ldap_start_tls: Can't contact LDAP server (-1)
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)

使用 -ZZ，沒有 ldap_sasl_bind(SIMPLE) 時出現相同的錯誤訊息：無法聯繫 LDAP 伺服器 (-1)

你是對的，這個指令不會啟動好的協定。有沒有辦法強制這個？

相關內容