Benutzer-Werkzeuge
fortgeschrittene:ldap-ssl
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen gezeigt.
| Beide Seiten, vorherige Überarbeitung Vorherige Überarbeitung Nächste Überarbeitung | Vorherige Überarbeitung | ||
|
fortgeschrittene:ldap-ssl [2017/03/31 11:52] ingo_wichmann |
fortgeschrittene:ldap-ssl [2025/11/14 16:32] (aktuell) |
||
|---|---|---|---|
| Zeile 9: | Zeile 9: | ||
| ===== Als root Zertifikate, Anträge und Schlüssel an die passenden Stellen kopieren ===== | ===== Als root Zertifikate, Anträge und Schlüssel an die passenden Stellen kopieren ===== | ||
| - | ==== Debian ==== | + | ==== Debian (ab 8) ==== |
| - | Paket: ssl-cert (( legt die gruppe ''ssl-cert'' an und setzt passende Berechtigungen für ''/etc/ssl/private'' ) | + | Paket: ssl-cert (( legt die gruppe ''ssl-cert'' an und setzt passende Berechtigungen für ''/etc/ssl/private'' )) |
| - | cd /etc/ssl | + | adduser openldap ssl-cert |
| - | cp /root/server-ssl/servercert.pem certs/ | + | sudo -u openldap -g openldap openssl rsa -in /etc/ssl/private/ssl-cert-snakeoil.key -noout -check |
| - | cp /root/server-ssl/serverkey.pem private/ | + | -> ''RSA key ok'' |
| - | cp /home/ca/ca.*/cacert.pem certs/ | + | sudo -u openldap -g openldap openssl x509 -in /etc/ssl/certs/ssl-cert-snakeoil.pem -noout -subject |
| + | -> ''subject=CN=vm1.z45.internal'' | ||
| - | chgrp ssl-cert private/serverkey.pem | + | service slapd restart |
| - | chmod 440 private/serverkey.pem | + | |
| - | chmod 444 certs/{server,ca}cert.pem | + | |
| - | (( Todo: ist das Paket ''ssl-cert'' hier interessant? )) | + | |
| ===== slapd konfigurieren ===== | ===== slapd konfigurieren ===== | ||
| + | <file ldif olcTls.ldif> | ||
| + | dn: cn=config | ||
| + | changetype: modify | ||
| + | add: olcTlsCaCertificateFile | ||
| + | olcTlsCaCertificateFile: /etc/ssl/certs/ssl-cert-snakeoil.pem | ||
| + | - | ||
| + | add: olcTlsCertificateFile | ||
| + | olcTlsCertificateFile: /etc/ssl/certs/ssl-cert-snakeoil.pem | ||
| + | - | ||
| + | add: olcTlsCertificateKeyFile | ||
| + | olcTlsCertificateKeyFile: /etc/ssl/private/ssl-cert-snakeoil.key | ||
| + | </file> | ||
| + | |||
| + | (( | ||
| ''/etc/ldap/slapd.conf'' : ( Debian 4.0 ) | ''/etc/ldap/slapd.conf'' : ( Debian 4.0 ) | ||
| <file> | <file> | ||
| - | TLSCACertificateFile /etc/ssl/certs/cacert.pem | + | TLSCACertificateFile /etc/ssl/certs/ssl-cert-snakeoil.pem |
| - | TLSCertificateFile /etc/ssl/certs/servercert.pem | + | TLSCertificateFile /etc/ssl/certs/ssl-cert-snakeoil.pem |
| - | TLSCertificateKeyFile /etc/ssl/private/serverkey.pem | + | TLSCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key |
| </file> | </file> | ||
| + | )) | ||
| - | adduser openldap ssl-cert | + | ldapmodify -Y EXTERNAL -H ldapi:/// -f ./olcTls.ldif |
| + | -> ''modifying entry "cn=config"'' | ||
| + | ldapsearch -QY EXTERNAL -LLL cn=config olcTLSCACertificateFile olcTLSCertificateFile olcTLSCertificateKeyFile | ||
| ''/etc/default/slapd'' : | ''/etc/default/slapd'' : | ||
| Zeile 41: | Zeile 56: | ||
| Dienst neu starten: | Dienst neu starten: | ||
| - | /etc/init.d/slapd restart | + | service slapd restart |
| ==== testen ==== | ==== testen ==== | ||
| - | openssl s_client -connect YOUR_LDAP_SERVER:636 -showcerts | + | |
| + | openssl s_client -connect YOUR_LDAP_SERVER:636 -showcerts -CAfile /home/ca/ca.example.com/cacert.pem | ||
| oder | oder | ||
| - | openssl s_client -connect YOUR_LDAP_SERVER:389 -showcerts | + | openssl s_client -connect YOUR_LDAP_SERVER:389 -showcerts -starttls ldap -CAfile /home/ca/ca.example.com/cacert.pem |
| + | (( erst mit https://github.com/openssl/openssl/pull/2293 verfügbar )) | ||
| + | -> sollte u.a. ''Verification: OK'' ausgeben | ||
| ===== Client einrichten ===== | ===== Client einrichten ===== | ||
| + | scp nutzer@192.168.245.101:/etc/ssl/certs/ssl-cert-snakeoil.pem /etc/ssl/certs/vm1.z45.intern.cert.pem | ||
| + | |||
| ''$HOME/.ldaprc'' : | ''$HOME/.ldaprc'' : | ||
| <file> | <file> | ||
| Zeile 59: | Zeile 78: | ||
| </file> | </file> | ||
| - | ===== Testen ===== | + | ==== Testen ==== |
| ldapsearch -x -W -ZZ | ldapsearch -x -W -ZZ | ||
fortgeschrittene/ldap-ssl.1490961172.txt.gz · Zuletzt geändert: 2017/03/31 11:52 von ingo_wichmann
Seiten-Werkzeuge
Falls nicht anders bezeichnet, ist der Inhalt dieses Wikis unter der folgenden Lizenz veröffentlicht: CC Attribution-Noncommercial-Share Alike 4.0 International
