使用TLS配置OpenLDAP =必需

如今，OpenLDAP的需要与的ldapmodify CN =配置来配置，如描述在这里。但无处可寻，您如何配置它以仅接受TLS流量。我刚刚确认我们的服务器接受未加密的流量（使用ldapsearch和tcpdump）。

通常，我只用IP表关闭非SSL端口，但是显然不赞成使用SSL端口，因此我没有那个选择。

因此，使用SSL配置命令，如下所示：

dn: cn=config
changetype:modify
replace: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/bla.key
-
replace: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/bla.crt
-
replace: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/ca.pem

是否有强制使用TLS的参数？

编辑：我尝试了olcTLSCipherSuite，但是它不起作用。调试输出：

TLS: could not set cipher list TLSv1+RSA:!NULL.
main: TLS init def ctx failed: -1
slapd destroy: freeing system resources.
slapd stopped.
connections_destroy: nothing to destroy.

Edit2（几乎固定）：我可以通过加载来修复它：

# cat force-ssl.tx 
dn: cn=config
changetype:  modify
add: olcSecurity
olcSecurity: tls=1

但是然后像

ldapmodify -v -Y EXTERNAL -H ldapi:/// -f /etc/ssl/tls-required.ldif

不再工作...并将其更改为：

ldapmodify -v -x -D "cn=admin,dc=domain,dc=com" -H ldap://ldap.bla.tld/ -ZZ -W -f force-ssl.txt

给我“ ldap_bind：无效的凭据（49）”。显然，即使将此binddn指定为rootdn，我也不能使用它来更改cn=config。可以改变吗？

我似乎已经明白了：

我是这样做的：

dn: olcDatabase={1}hdb,cn=config
changetype:  modify
add: olcSecurity
olcSecurity: tls=1

这似乎具有预期的效果。我仍然可以运行以下命令：

ldapsearch -LLL -Y EXTERNAL -H ldapi:/// -b cn=config

但是尝试在ldapsearch -xLLL -b ...不使用SSL的情况下与“ ” 进行绑定会说：“需要TLS机密性”

这可以通过TLSCipherSuite选项实现。OpenLDAP Zytrax书籍的LDAP安全性章节中记录了一个示例。使用它，您可以告诉OpenLDAP服务器将接受的密码套件。例如，您可以说您不想要NULL密码套件（即：非加密会话）。

请注意，尽管OpenLDAP可以链接到OpenSSL或GnuTLS库。那些使用不同的密码列表来描述其加密支持。OpenSSL密码列表可以通过类似的命令获得，openssl ciphers -v而GnuTLS列表可以通过gnutls-cli -l。

禁用不加密而不连接的最简单方法是：

dn: cn=config
changetype: modify
replace: olcTLSCipherSuite
olcTLSCipherSuite: ALL:!NULL

使用GnuTLS语法的更具体的限制：

dn: cn=config
changetype: modify
replace: olcTLSCipherSuite
olcTLSCipherSuite: TLS_RSA_CAMELLIA_128_CBC_SHA1:TLS_RSA_CAMELLIA_256_CBC_SHA1:!NULL

一个更完整的示例可能是（使用OpenSSL语法）：

dn: cn=config
changetype: modify
replace: olcTLSCipherSuite
olcTLSCipherSuite: HIGH:+SSLv3:+TLSv1:MEDIUM:+SSLv2:@STRENGTH:+SHA:+MD5:!NULL

有一个关于OpenLDAP邮件列表的讨论，值得阅读有关类似问题的信息。

还值得注意的是，ldapsearch当连接到服务器以禁止未加密的连接时，OpenLDAP cli工具（如）会自动切换为使用TLS。这意味着，你就不会需要添加-Z到的args列表。