[sisyphus] openldap

[sisyphus] openldap

[Епифанов Сергей]

[-- Attachment #1: Type: text/plain, Size: 397 bytes --]

Есть вопрос по openldap

В новом openldap обнаружил, что авторизация идет по умолчанию через sasl2, 
однако возникла проблема: авторизация через обычный (simple) протокол 
работает, а при попытке через sasl2 - сервер просто останавливается без 
причин. Логов совершенно никаких. Заметно, что это происходит на стадии 
начала авторизации. Где может быть проблема?

-- 
С уважением, Епифанов Сергей

[-- Attachment #2: ldap --]
[-- Type: text/plain, Size: 405 bytes --]

# nice level for slapd
SLAPDNICE="+2"

# debug level for slapd
SLAPDSYSLOGLEVEL="2048"
SLAPDSYSLOGLOCALUSER="LOCAL4" 

# SLAPD URL list 
SLAPDURLLIST='-h "ldap://193.125.101.100/ ldaps://193.125.101.100/"'

########################################
# SLURPD Proccess options
########################################
# Options
SLURPDURLLIST='-t /var/lib/ldap'

# nice level for slurp
SLURPNICE="+2"			     

[-- Attachment #3: database.access.conf --]
[-- Type: text/plain, Size: 332 bytes --]

sasl-regexp
    uid=(.*),cn=t1,t2,t3,cn=digest-md5,cn=auth
    uid=$1,ou=person,dc=t1,dc=t2,dc=t3

access to attr=userPassword 
    by self write
    by anonymous auth
    by dn.base="cn=Admin,dc=t1,dc=t2,dc=t3" write
    by * none

access to *
    by self write
    by dn.base="cn=Admin,dc=t1,dc=t2,dc=t3" write
    by * read
    

[-- Attachment #4: ldap.conf --]
[-- Type: text/plain, Size: 385 bytes --]

# $OpenLDAP: pkg/ldap/libraries/libldap/ldap.conf,v 1.9 2000/09/04 19:57:01 kurt Exp $
#
# LDAP Defaults
#

# See ldap.conf(5) for details
# This file should be world readable but not world writable.

#BASE	dc=example, dc=com
BASE	dc=t1, dc=t2, dc=t3
URI	ldap://193.125.101.100
#URI	ldap://ldap.example.com ldap://ldap-master.example.com:666

#SIZELIMIT	12
#TIMELIMIT	15
#DEREF		never

[-- Attachment #5: slapd.conf --]
[-- Type: text/x-csrc, Size: 6096 bytes --]

# $OpenLDAP: pkg/ldap/servers/slapd/slapd.conf,v 1.23.2.8 2003/05/24 23:19:14 kurt Exp $
#
# See slapd.conf(5) for details on configuration options.
# This file should NOT be world readable.
#
# Modified by Christian Zoffoli <czoffoli@linux-mandrake.com>
# Version 0.2
# 
# Modified by Volkov Serge <vserge@altlinux.ru>
# Version 0.9
# Last modification at 08 Sep 2003
#

# [GLOBAL PARAMETRS]

# Default schemas
include	/etc/openldap/schema/core.schema
include	/etc/openldap/schema/cosine.schema
include	/etc/openldap/schema/inetorgperson.schema
include	/etc/openldap/schema/openldap.schema 
include	/etc/openldap/schema/nis.schema
#include	/etc/openldap/schema/misc.schema
#include	/etc/openldap/schema/rfc822-MailMember.schema
#include	/etc/openldap/schema/krb5-kdc.schema
#include	/etc/openldap/schema/kerberosobject.schema
#include	/etc/openldap/schema/corba.schema 
#include	/etc/openldap/schema/java.schema 

# Addon schemas
#include	/etc/openldap/schema/pilot.schema
#include	/etc/openldap/schema/autofs.schema
#include	/etc/openldap/schema/samba2.schema
#include	/etc/openldap/schema/samba3.schema
#include	/etc/openldap/schema/qmail.schema
#include	/etc/openldap/schema/qmailControl.schema
# Experemental shemas
#include	/etc/openldap/schema/cron.schema
#include	/etc/openldap/schema/dns.schema
#include	/etc/openldap/schema/trust.schema
#include	/etc/openldap/schema/turbo.schema

# Netscape Roaming
#include	/etc/openldap/schema/mull.schema
#include	/etc/openldap/schema/netscape-profile.schema

# Local schema, that you will be constract 
#include	/etc/openldap/schema/local.schema

# This is options for convience
allow bind_v2

#The ( absolute ) name  of  a  file  that  will  hold  the  slapd
# server's  process  ID
pidfile /var/run/slapd.pid

# The  (  absolute  )  name  of  a  file  that will hold the slapd
# server's command line options
argsfile /var/run/slapd.args

# LogLevel information
# if you want enable debuggin mode
# choose one of the next
# and check /etc/syslog.conf for line
# "LOCAL4.*    /var/log/ldap/log" exist
# ---------------------------------------------------
# |    -1      |       enable all debugging
# |    0       |       no debugging
# |    1       |       trace function calls
# |    2       |       debug packet handling
# |    4       |       heavy trace debugging
# |    8       |       connection management
# |    16      |       print out packets sent and received
# |    32      |       search filter processing
# |    64      |       configuration file processing
# |    128     |       access control list processing
# | 256        |       stats log connections/operations/results
# |    512     |       stats log entries sent
# | 1024|      print communication with shell backends
# | 2048|      print entry parsing debugging
# ---------------------------------------------------
loglevel 2048

# Do not enable referrals until AFTER you have a working directory
# service AND an understanding of referrals.
#referral	ldap://root.openldap.org

# Load dynamic backend modules:
modulepath	/usr/lib/openldap
# moduleload	back_bdb.la
#moduleload	back_ldap.la
moduleload	back_ldbm.la
# moduleload	back_passwd.la
# moduleload	back_shell.la
# modeleload	back_monitor.la
# This module not work now whating whalie author correct him
# moduleload	back_sql.la

# To allow TLS-enabled connections, create /var/lib/ssl/certs/slapd.pem
# and uncomment the following lines.
TLSCipherSuite         HIGH:MEDIUM:+SSLv2
TLSCertificateFile      /var/lib/ssl/certs/slapd.pem
TLSCertificateKeyFile   /var/lib/ssl/certs/slapd.pem
TLSCACertificateFile    /var/lib/ssl/certs/slapd.pem

# TLSVerifyClient <level>
# <level>: never, allow, try, demand
TLSVerifyClient allow

# Define global ACLs to disable default read access.
#include 	/etc/openldap/slapd.access.conf

# New options for connections
# disallow <features>
# bind_anon, bind_simple, bind_krbv4, tls_2_anon, tls_authc
disallow bind_krbv4

# password-hash <hash>
# <hash>: {SSHA}, {SHA}, {SMD5}, {MD5}, {CRYPT}, {CLEARTEXT}.
#password-hash {SSHA}
password-hash {CLEARTEXT}

# password-crypt-salt-format <format>
# <format>: 
# Default: password-crypt-salt-format "%s" 

# require <conditions>
# It's GLOBAL Parameter in this place. You can change it per database.
# <conditions>: bind LDAPv3 authc strong none
# Default: require none

# Sample security restrictions
#	Require integrity protection (prevent hijacking)
#	Require 112-bit (3DES or better) encryption for updates
#	Require 63-bit encryption for simple bind
# security ssf=1 update_ssf=112 simple_bind=64

# Sample access control policy:
#	Root DSE: allow anyone to read it
#	Subschema (sub)entry DSE: allow anyone to read it
#	Other DSEs:
#		Allow self write access
#		Allow authenticated users read access
#		Allow anonymous users to authenticate
#	Directives needed to implement policy:
# access to dn.base="" by * read
# access to dn.base="cn=Subschema" by * read
# access to *
#	by self write
#	by users read
#	by anonymous auth
#
# if no access controls are present, the default policy is:
#	Allow read by all
#
# rootdn can always write!

#######################################################################
# ldbm database definitions
#######################################################################

database	ldbm
suffix		"dc=t1,dc=t2,dc=t3"
rootdn		"cn=Admin,dc=t1,dc=t2,dc=t3"
# Cleartext passwords, especially for the rootdn, should
# be avoid.  See slappasswd(8) and slapd.conf(5) for details.
# Use of strong authentication encouraged.
rootpw		secret
# The database directory MUST exist prior to running slapd AND 
# should only be accessible by the slapd and slap tools.
# Mode 700 recommended.
directory	/var/lib/ldap/bases

include /etc/openldap/database.access.conf

# Indices to maintain
index	uid,cn	eq,approx,pres
index	objectClass	eq

#######################################################################
#  Replication log file for slurpd
#######################################################################
replogfile /var/lib/ldap/replica/my-domain.com.replog

#replica host=ldap.my-domain.com:389 

Re: [sisyphus] openldap

[Vitaly A. Sergienko]

Епифанов Сергей пишет:

>Есть вопрос по openldap
>
>В новом openldap обнаружил, что авторизация идет по умолчанию через sasl2, 
>однако возникла проблема: авторизация через обычный (simple) протокол 
>работает, а при попытке через sasl2 - сервер просто останавливается без 
>причин. Логов совершенно никаких. Заметно, что это происходит на стадии 
>начала авторизации. Где может быть проблема?
>
>  
>
Посмотри что говорит ldapsearch с опцией -d 3

Виталий

Re: [sisyphus] openldap

[Епифанов Сергей]

В сообщении от 13 Октябрь 2003 16:25 Vitaly A. Sergienko написал:

> Посмотри что говорит ldapsearch с опцией -d 3

[pif@epiphanov pif]$ ldapsearch -d 5
ldap_connect_to_host: TCP 193.125.101.100:389
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying 193.125.101.100:389
ldap_connect_timeout: fd: 3 tm: -1 async: 0
ldap_ndelay_on: 3
ldap_is_sock_ready: 3
ldap_ndelay_off: 3
** Connections:
* host: 193.125.101.100  port: 389  (default)
  refcnt: 2  status: Connected
  last used: Mon Oct 13 16:49:18 2003

** Outstanding Requests:
 * msgid 1,  origid 1, status InProgress
   outstanding referrals 0, parent count 0
** Response Queue:
   Empty
** Connections:
* host: 193.125.101.100  port: 389  (default)
  refcnt: 2  status: Connected
  last used: Mon Oct 13 16:49:18 2003

** Outstanding Requests:
 * msgid 1,  origid 1, status InProgress
   outstanding referrals 0, parent count 0
** Response Queue:
 * msgid 1,  type 100
SASL/SRP authentication started
Please enter your password:
** Connections:
* host: 193.125.101.100  port: 389  (default)
  refcnt: 2  status: Connected
  last used: Mon Oct 13 16:49:21 2003

** Outstanding Requests:
 * msgid 2,  origid 2, status InProgress
   outstanding referrals 0, parent count 0
** Response Queue:
   Empty
ldap_sasl_interactive_bind_s: Can't contact LDAP server (81)
[pif@epiphanov pif]$

С этого момента сервера уже нет.

-- 
С уважением, Епифанов Сергей

Re[2]: [sisyphus] openldap

[Volkov Serge]

Hello Епифанов,

Monday, October 13, 2003, 4:50:26 PM, you wrote:

ЕС> В сообщении от 13 Октябрь 2003 16:25 Vitaly A. Sergienko написал:

>> Посмотри что говорит ldapsearch с опцией -d 3

ЕС> [pif@epiphanov pif]$ ldapsearch -d 5
ЕС> ldap_connect_to_host: TCP 193.125.101.100:389
ЕС> ldap_new_socket: 3
ЕС> ldap_prepare_socket: 3
ЕС> ldap_connect_to_host: Trying 193.125.101.100:389
ЕС> ldap_connect_timeout: fd: 3 tm: -1 async: 0
ЕС> ldap_ndelay_on: 3
ЕС> ldap_is_sock_ready: 3
ЕС> ldap_ndelay_off: 3
ЕС> ** Connections:
ЕС> * host: 193.125.101.100  port: 389  (default)
ЕС>   refcnt: 2  status: Connected
ЕС>   last used: Mon Oct 13 16:49:18 2003

ЕС> ** Outstanding Requests:
ЕС>  * msgid 1,  origid 1, status InProgress
ЕС>    outstanding referrals 0, parent count 0
ЕС> ** Response Queue:
ЕС>    Empty
ЕС> ** Connections:
ЕС> * host: 193.125.101.100  port: 389  (default)
ЕС>   refcnt: 2  status: Connected
ЕС>   last used: Mon Oct 13 16:49:18 2003

ЕС> ** Outstanding Requests:
ЕС>  * msgid 1,  origid 1, status InProgress
ЕС>    outstanding referrals 0, parent count 0
ЕС> ** Response Queue:
ЕС>  * msgid 1,  type 100
ЕС> SASL/SRP authentication started
ЕС> Please enter your password:
ЕС> ** Connections:
ЕС> * host: 193.125.101.100  port: 389  (default)
ЕС>   refcnt: 2  status: Connected
ЕС>   last used: Mon Oct 13 16:49:21 2003

ЕС> ** Outstanding Requests:
ЕС>  * msgid 2,  origid 2, status InProgress
ЕС>    outstanding referrals 0, parent count 0
ЕС> ** Response Queue:
ЕС>    Empty
ЕС> ldap_sasl_interactive_bind_s: Can't contact LDAP server (81)
ЕС> [pif@epiphanov pif]$

ЕС> С этого момента сервера уже нет.
Господа я сейчас исследую этот вопрос, поэтому у меня вопрос к
сообществу: Кто-нибудь использует авторизацию sasl в OpenLDAP ?

если нет я ее просто выключу!



-- 
Best regards,
 Volkov                            mailto:vserge@altlinux.ru

Re: [sisyphus] openldap

[Volkov Serge]

Hello Епифанов,

Monday, October 13, 2003, 3:04:27 PM, you wrote:

ЕС> Есть вопрос по openldap

ЕС> В новом openldap обнаружил, что авторизация идет по умолчанию через sasl2, 
ЕС> однако возникла проблема: авторизация через обычный (simple) протокол 
ЕС> работает, а при попытке через sasl2 - сервер просто останавливается без 
ЕС> причин. Логов совершенно никаких. Заметно, что это происходит на стадии 
ЕС> начала авторизации. Где может быть проблема?

Ждите завтра 2.1.23 с исправлением багов, надеюсь станет получше!


-- 
Best regards,
 Volkov                            mailto:vserge@altlinux.ru

Re: [sisyphus] openldap

[Maxim Tyurin]

On Mon, Oct 13, 2003 at 09:28:34PM +0400, Volkov Serge wrote:
<scip>
> Господа я сейчас исследую этот вопрос, поэтому у меня вопрос к
> сообществу: Кто-нибудь использует авторизацию sasl в OpenLDAP ?
> 
> если нет я ее просто выключу!

ИМХО главное чтоб TLS работал :)
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			

Re: Re[2]: [sisyphus] openldap

[Yury Konovalov]

Понедельник 13 Октябрь 2003 21:28, Volkov Serge написал:
> Господа я сейчас исследую этот вопрос, поэтому у меня вопрос к
> сообществу: Кто-нибудь использует авторизацию sasl в OpenLDAP ?
>
> если нет я ее просто выключу!
Не желательно!
Я использую только аутентификацию через sasl
Впрочем, и simple bind работает тоже без проблем

-- 
Yury Konovalov [mailto:yurix@unixcenter.ru, phone: +7 (095) 1584526]
Moscow Aviation Institute,
Information Networks Dep. [ http://www.unixcenter.ru ]

Re: [sisyphus] openldap

[Епифанов Сергей]

В сообщении от 16 Октябрь 2003 12:46 Yury Konovalov написал:

> Я использую только аутентификацию через sasl
> Впрочем, и simple bind работает тоже без проблем

Не подскажете, как Вы настраивали sasl к openldap? Ссылки на документы или 
хотя бы подсказки.

-- 
С уважением, Епифанов Сергей

Re: [sisyphus] openldap

[Yury Konovalov]

Четверг 16 Октябрь 2003 15:39, Епифанов Сергей написал:
> В сообщении от 16 Октябрь 2003 12:46 Yury Konovalov написал:
> > Я использую только аутентификацию через sasl
> > Впрочем, и simple bind работает тоже без проблем
>
> Не подскажете, как Вы настраивали sasl к openldap? Ссылки на документы или
> хотя бы подсказки.
Из всех механизмов sasl я использую только gssapi, так что sasl для меня 
только посредник для аутентификации билетами Krb5.
В кратце последовательность такая:
1) Развернуть инфраструктуру Kerberos в сети. Это отдельная тема.
    Собственно она нормально освещена в доках к MIT Kerberos
2) Завести в базе kerberos  принципал для ldap сервера и экспортировать
  ключ в файл на сервере ldap, например /etc/openldap/ldap.keytab.
3) в /etc/sysconfig/ldap добавить
export KRB5_KTNAME="FILE:/etc/openldap/ldap.keytab"
4) сам файл защитить от посторонних глаз.
5) Теперь нужно подсказать ldap как сопоставить принципалы Kerberos (а точнее 
пользователей sasl) и объекты ldap. Это можно сделать с помощью sasl-regexp.
(Такой-же метод должен работать и для других механизмов sasl2):
В slapd.conf:
 ...
sasl-regexp
    uid=(.*),cn=gssapi,cn=auth
    uid=$1,ou=People,dc=example,dc=com
 ...   
6) Все, теперь можно пользоваться:
    kinit vasya
    ldapsearch -Ygssapi

Что касается документов, то помнится была хорошая презентация по OpenLDAP.
ftp://kalamazoolinux.org/pub/pdf/ldapv3.pdf (это обязательно нужно посмотреть)
Ну и  google конечно.

Ввиду давнишней неработоспособности gssapi-plugin к sasl2, я использую 
пересобранные пакеты krb5, sasl2, openldap и некоторые другие. У меня
указанная неисправность не проявляется. Для интересующихся:
rpm [yurix] ftp://ftp.mai.ru/pub/UnixCenter/Wider i586 yurix

С момента выпуска krb 1.3.1 стало возможным использовать эти пакеты прямо из
Сизифа. На тестовой машине я попробовал установить сизифовскую сборку openldap
и действительно наблюдал подобные падения сервиса. Но при этом сервер четко
ругался на недоступные функции ssl. Я так и не понял, с чем это связано, но 
если перед запуском slapd вызвать ldconfig, то работает стабильно. По-крайней
мере на моей системе slapd больше не падал (2.1.22-alt10).

-- 
Yury Konovalov [mailto:yurix@unixcenter.ru, phone: +7 (095) 1584526]

Re: [sisyphus] openldap

[Alexander Bokovoy]

On Fri, Oct 17, 2003 at 01:28:08PM +0400, Yury Konovalov wrote:
> Ввиду давнишней неработоспособности gssapi-plugin к sasl2, я использую 
> пересобранные пакеты krb5, sasl2, openldap и некоторые другие. У меня
> указанная неисправность не проявляется. Для интересующихся:
> rpm [yurix] ftp://ftp.mai.ru/pub/UnixCenter/Wider i586 yurix
> 
> С момента выпуска krb 1.3.1 стало возможным использовать эти пакеты прямо из
> Сизифа. На тестовой машине я попробовал установить сизифовскую сборку openldap
> и действительно наблюдал подобные падения сервиса. Но при этом сервер четко
> ругался на недоступные функции ssl. Я так и не понял, с чем это связано, но 
> если перед запуском slapd вызвать ldconfig, то работает стабильно. По-крайней
> мере на моей системе slapd больше не падал (2.1.22-alt10).
А можно strace процесса старта? Что-то не там лежит?

-- 
/ Alexander Bokovoy
---
Never face facts; if you do you'll never get up in the morning.
		-- Marlo Thomas

Re: [sisyphus] openldap

[Yury Konovalov]

Пятница 17 Октябрь 2003 13:35, Alexander Bokovoy написал:
> А можно strace процесса старта? Что-то не там лежит?
К сожалению, как не старался -- более данная бага не проявилась :(

-- 
Yury Konovalov [mailto:yurix@unixcenter.ru, phone: +7 (095) 1584526]