[sisyphus] openldap & sasl2

[sisyphus] openldap & sasl2

[Oleg Frolkov]

Здравствуйте.

Есть LDAP сервер, на нем следующая зона:
-----------------------------------------
dn: dc=mydomain,dc=ru
objectClass: dcObject
objectClass: organization
o: mydomain Network
dc: mydomain

dn: cn=admin,dc=mydomain,dc=ru
objectClass: organizationalRole
cn: admin

dn: ou=users,dc=mydomain,dc=ru
objectClass: organizationalUnit
ou: users

dn: cn=test,ou=users,dc=mydomain,dc=ru
cn: test
givenName: test
mail: test
mail: test@mydomain.ru
objectClass: inetOrgPerson
objectClass: uidObject
objectClass: organizationalPerson
objectClass: top
sn: UTM created mail account
uid: test
userPassword: {MD5}password
-------------------------------------------

Соответственно сам LDAP настроен и ldapsearch выдает:

#ldapsearch -LLL -x -w adminpassword -D 'cn=admin,dc=mydomain,dc=ru' \
            -b 'dc=mydomain,dc=ru' 'cn=test'
---------------------------------------------------
dn: cn=test,ou=users,dc=mydomain,dc=ru
cn: test
givenName: test
mail: test
mail: test@mydomain.ru
objectClass: inetOrgPerson
objectClass: uidObject
objectClass: organizationalPerson
objectClass: top
sn: UTM created mail account
uid: test
userPassword:: password
--------------------------------------------------

Теперь надо авторизовать пользователя через sasl2:

/etc/sasl2/saslauthd.conf

ldap_servers: ldap://127.0.0.1
ldap_bind_dn: cn=admin,ou=users,dc=mydomain,dc=ru
ldap_bind_pw: adminpassword
ldap_version: 3
ldap_timeout: 5
ldap_time_limit: 5
        
ldap_search_base: ou=users,dc=mydomain,dc=ru
ldap_auth_method: custom
ldap_debug 10

Теперь запускаю #service saslauthd start

Теперь #testsaslauthd -r mydomain.ru -u test -p test
       #testsaslauthd -r mydomain.ru -u test@mydomain.ru -p test

       Результат на обе строчки: 0: NO "authentication failed"

       в /etc/messages имею:
       
Aug 10 13:22:29 eleven saslauthd[4003]: do_auth         : auth
failure: [user=test] [service=imap] [realm=mydomain.ru] [mech=ldap] [reason=Unknown] 

Aug 10 13:22:38 eleven saslauthd[4004]: do_auth         : auth
failure: [user=test@mydomain.ru] [service=imap] [realm=mydomain.ru] [mech=ldap] [reason=Unknown] 

Что я делаю неправильно?

-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re: [sisyphus] openldap & sasl2

[Alexei Takaseev]

On Tue, 10 Aug 2004 13:48:57 +0400
Oleg Frolkov <rcc-of@penza.com.ru> wrote:

> Здравствуйте.
> 
> Есть LDAP сервер, на нем следующая зона:
> -----------------------------------------
> dn: dc=mydomain,dc=ru
> objectClass: dcObject
> objectClass: organization
> o: mydomain Network
> dc: mydomain
> 
> dn: cn=admin,dc=mydomain,dc=ru
> objectClass: organizationalRole
> cn: admin
> 
> dn: ou=users,dc=mydomain,dc=ru
> objectClass: organizationalUnit
> ou: users
> 
> dn: cn=test,ou=users,dc=mydomain,dc=ru
> cn: test
> givenName: test
> mail: test
^^^^^^^^^^^^^^^
> mail: test@mydomain.ru
^^^^^^^^^^^^^^^^^^^^^^^^^
> objectClass: inetOrgPerson
> objectClass: uidObject
> objectClass: organizationalPerson
> objectClass: top
> sn: UTM created mail account
> uid: test
> userPassword: {MD5}password
> -------------------------------------------
> 
> Соответственно сам LDAP настроен и ldapsearch выдает:
> 
> #ldapsearch -LLL -x -w adminpassword -D 'cn=admin,dc=mydomain,dc=ru' \
>             -b 'dc=mydomain,dc=ru' 'cn=test'
> ---------------------------------------------------
> dn: cn=test,ou=users,dc=mydomain,dc=ru
> cn: test
> givenName: test
> mail: test
> mail: test@mydomain.ru
> objectClass: inetOrgPerson
> objectClass: uidObject
> objectClass: organizationalPerson
> objectClass: top
> sn: UTM created mail account
> uid: test
> userPassword:: password
> --------------------------------------------------
> 
> Теперь надо авторизовать пользователя через sasl2:
> 
> /etc/sasl2/saslauthd.conf
> 
> ldap_servers: ldap://127.0.0.1
> ldap_bind_dn: cn=admin,ou=users,dc=mydomain,dc=ru
> ldap_bind_pw: adminpassword
> ldap_version: 3
> ldap_timeout: 5
> ldap_time_limit: 5
>         
> ldap_search_base: ou=users,dc=mydomain,dc=ru
> ldap_auth_method: custom
> ldap_debug 10
> 
> Теперь запускаю #service saslauthd start
> 
> Теперь #testsaslauthd -r mydomain.ru -u test -p test
>        #testsaslauthd -r mydomain.ru -u test@mydomain.ru -p test
> 
>        Результат на обе строчки: 0: NO "authentication failed"
> 
>        в /etc/messages имею:
>        
> Aug 10 13:22:29 eleven saslauthd[4003]: do_auth         : auth
> failure: [user=test] [service=imap] [realm=mydomain.ru] [mech=ldap]
> [reason=Unknown] 
> 
> Aug 10 13:22:38 eleven saslauthd[4004]: do_auth         : auth
> failure: [user=test@mydomain.ru] [service=imap] [realm=mydomain.ru]
> [mech=ldap] [reason=Unknown] 
> 
> Что я делаю неправильно?

Смотрите подчеркнутое. У вас две записи mail, что есть как бы
неправильно. Решений два: 1 - убрать одну лишнюю запись, 2 - в
/etc/sasl2/saslauthd.conf прописать строку типа:

ldap_size_limit: 2

[sisyphus] Re: openldap & sasl2

[Michael Shigorin]

On Tue, Aug 10, 2004 at 01:48:57PM +0400, Oleg Frolkov wrote:
> Что я делаю неправильно?

[skip]

Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
есть и вопросы, и ответы, но специфика довольно трафикоемка и
малоинтересна большинству нормальных подписчиков... :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [sisyphus] Re: openldap & sasl2

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 385 bytes --]

Michael Shigorin пишет:
> On Tue, Aug 10, 2004 at 01:48:57PM +0400, Oleg Frolkov wrote:
> 
>>Что я делаю неправильно?
> 
> 
> [skip]
> 
> Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
> есть и вопросы, и ответы, но специфика довольно трафикоемка и
> малоинтересна большинству нормальных подписчиков... :)
> 

Надо... мне тоже интересно... но вопросов будет много... ;)

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: openldap & sasl2

[vserge]

Добрый день

Вы написали Michael Shigorin <mike@osdn.org.ua> Tue, 10 Aug 2004 16:08:36
+0300:

> On Tue, Aug 10, 2004 at 01:48:57PM +0400, Oleg Frolkov wrote:
> > Что я делаю неправильно?
> 
> [skip]
> 
> Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
> есть и вопросы, и ответы, но специфика довольно трафикоемка и
> малоинтересна большинству нормальных подписчиков... :)
> 
Было бы не плохо, а то создается впечатление, что данный пакет нужен только
1-2 подписчика ( а на самом деле их больше :) )

-- 
С помощью chroot jail вы можете обезопасить систему от зачрутенного
сервиса гораздо надежнее, чем без использования чрутизации.
		-- ldv in sisyphus@

Re[2]: [sisyphus] openldap & sasl2

[Oleg Frolkov]

Здравствуйте, Alexei.

Вы писали 10 августа 2004 г., 16:51:56:

>> mail: test
AT> ^^^^^^^^^^^^^^^
>> mail: test@mydomain.ru
AT> ^^^^^^^^^^^^^^^^^^^^^^^^^

AT> Смотрите подчеркнутое. У вас две записи mail, что есть как бы
AT> неправильно. Решений два: 1 - убрать одну лишнюю запись, 2 - в
AT> /etc/sasl2/saslauthd.conf прописать строку типа:

AT> ldap_size_limit: 2
    Пробовал и так и так :( результат абсолютно тот-же.
    Как получить более подробный лог? А то какие-то сообщения об
    ошибках куцые...

-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re: [sisyphus] Re: openldap & sasl2

[Maxim Tyurin]

Michael Shigorin <mike@osdn.org.ua> writes:

> On Tue, Aug 10, 2004 at 01:48:57PM +0400, Oleg Frolkov wrote:
>> Что я делаю неправильно?
>
> [skip]
>
> Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
> есть и вопросы, и ответы, но специфика довольно трафикоемка и
> малоинтересна большинству нормальных подписчиков... :)

Обязательно.
Желательно еще это в docs@ потихоньку переносить ибо граблей там
немеряно.
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: Re[2]: [sisyphus] openldap & sasl2

[Alexei Takaseev]

On Tue, 10 Aug 2004 17:51:29 +0400
Oleg Frolkov <rcc-of@penza.com.ru> wrote:

> Здравствуйте, Alexei.
> 
> Вы писали 10 августа 2004 г., 16:51:56:
> 
> >> mail: test
> AT> ^^^^^^^^^^^^^^^
> >> mail: test@mydomain.ru
> AT> ^^^^^^^^^^^^^^^^^^^^^^^^^
> 
> AT> Смотрите подчеркнутое. У вас две записи mail, что есть как бы
> AT> неправильно. Решений два: 1 - убрать одну лишнюю запись, 2 - в
> AT> /etc/sasl2/saslauthd.conf прописать строку типа:
> 
> AT> ldap_size_limit: 2
>     Пробовал и так и так :( результат абсолютно тот-же.
>     Как получить более подробный лог? А то какие-то сообщения об
>     ошибках куцые...

Попробовать выставить ldap_debug: побольше и запустить saslauthd из
командной строки как

# saslauthd -a ldap -O /usr/lib/sasl2/saslauthd.conf -d

Re: [sisyphus] Re: openldap & sasl2

[Pyatnitskich Evgeniy]

On Tue, Aug 10, 2004 at 16:08:36 +0300
Michael Shigorin wrote:

> On Tue, Aug 10, 2004 at 01:48:57PM +0400, Oleg Frolkov wrote:
> > Что я делаю неправильно?
> 
> [skip]
> 
> Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
> есть и вопросы, и ответы, но специфика довольно трафикоемка и
> малоинтересна большинству нормальных подписчиков... :)

Надо, надо. Лично для меня настройка этого openldap'а была в своё
время сродни чёрной магии с элементами языческих обрядов. :)

-- 
  -- Regards, P.E.M. <pem at nm dot ru>

Re: [sisyphus] Re: openldap & sasl2

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 456 bytes --]

vserge пишет:
>>>Что я делаю неправильно?
>>
>>[skip]
>>
>>Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
>>есть и вопросы, и ответы, но специфика довольно трафикоемка и
>>малоинтересна большинству нормальных подписчиков... :)
>>
> 
> Было бы не плохо, а то создается впечатление, что данный пакет нужен только
> 1-2 подписчика ( а на самом деле их больше :) )

А вы его криво соберите, и сразу узнаете, сколько человек его
используют!.. ;)

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: openldap & sasl2

[vserge]

Добрый день

Вы написали Ivan Fedorov <ns@altlinux.ru> Wed, 11 Aug 2004 15:01:13 +0900:

> vserge пишет:
> >>>Что я делаю неправильно?
> >>
> >>[skip]
> >>
> >>Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
> >>есть и вопросы, и ответы, но специфика довольно трафикоемка и
> >>малоинтересна большинству нормальных подписчиков... :)
> >>
> > 
> > Было бы не плохо, а то создается впечатление, что данный пакет нужен
> > только 1-2 подписчика ( а на самом деле их больше :) )
> 
> А вы его криво соберите, и сразу узнаете, сколько человек его
> используют!.. ;)
> 
Это жестоко и мало эффективно :( как результат множество людей, который сейчас
используют этот пакет, просто перестанут доверять мейнтейнеру :( или группе
OpenLDAP Team :(

-- 
В принципе можно сделать все.  На практике интересно то, что уже
есть.
		-- mike in devel@

Re: [sisyphus] Re: openldap & sasl2

[vserge]

Добрый день

Вы написали Maxim Tyurin <mrkooll@tdr.pibhe.com> Tue, 10 Aug 2004 17:04:20
+0300:

> Michael Shigorin <mike@osdn.org.ua> writes:
> 
> > On Tue, Aug 10, 2004 at 01:48:57PM +0400, Oleg Frolkov wrote:
> >> Что я делаю неправильно?
> >
> > [skip]
> >
> > Народ, а мож рассылку по (open)ldap сочинить?  У нас тут тоже
> > есть и вопросы, и ответы, но специфика довольно трафикоемка и
> > малоинтересна большинству нормальных подписчиков... :)
> 
> Обязательно.
> Желательно еще это в docs@ потихоньку переносить ибо граблей там
> немеряно.
АГА и будет еще когда после выхода Мастер из Дедалы передет OLDAP 2.2.xxx

-- 
Если у Вас есть проблема, которая к тому же никуда не делась, то Вам,
очевидно, надо что-то сделать, чтобы предоставить нам информацию, на
основании которой можно хоть что-то посоветовать.
		-- ldv in sisyphus@

I: OpenLDAP mailing list (was: [sisyphus] openldap & sasl2)

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 627 bytes --]

On Wed, Aug 11, 2004 at 10:41:24AM +0400, vserge wrote:
> > > Народ, а мож рассылку по (open)ldap сочинить?
> > Обязательно.  Желательно еще это в docs@ потихоньку
> > переносить ибо граблей там немеряно.
> АГА и будет еще когда после выхода Мастер из Дедалы передет
> OLDAP 2.2.xxx

Угу.  Для меня сейчас самая насущная -- совмещение ldap auth
локального доступа и useradd из пакетов...

В общем, http://lists.osdn.org.ua/wws/subrequest/openldap

PS: даю копии в три рассылки, просьба отвечать только в нужные.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[sisyphus] Re: openldap & sasl2

[Michael Shigorin]

On Tue, Aug 10, 2004 at 04:08:36PM +0300, Michael Shigorin wrote:
> Народ, а мож рассылку по (open)ldap сочинить?

Тэкс... wwsympa опять дурит.

Если не присылает пароль -- 
$mailer -s "subscribe openldap" "sympa lists osdn org ua" < /dev/null

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Oops, Re: I: OpenLDAP mailing list (was: [sisyphus] openldap & sasl2)

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 451 bytes --]

On Wed, Aug 11, 2004 at 10:28:10AM +0300, Michael Shigorin wrote:
> В общем, http://lists.osdn.org.ua/wws/subrequest/openldap

*&^&*^*.  Если не шлет пароль -- 

$mailer -s "subscribe openldap" "sympa lists osdn org ua" </dev/null

Если сказало, что такого листа нет -- только что пофиксил
(точнее, подпер симлинком виртуального робота)...

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: Oops, Re: I: OpenLDAP mailing list (was: [sisyphus] openldap & sasl2)

[Mike Lykov]

В сообщении от Среда 11 Август 2004 13:17 Michael Shigorin написал:

> $mailer -s "subscribe openldap" "sympa lists osdn org ua" </dev/null

bash: mailer: command not found

предпочитаю использовать mail ;)

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

[sisyphus] Re: Oops, Re: I: OpenLDAP mailing list

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 325 bytes --]

Mike Lykov пишет:
> В сообщении от Среда 11 Август 2004 13:17 Michael Shigorin написал:
> 
> 
>>$mailer -s "subscribe openldap" "sympa lists osdn org ua" </dev/null
> 
> 
> bash: mailer: command not found
> 
> предпочитаю использовать mail ;)
> 
Вообще-то вам написали $mailer, что типа подрузумевает ваш любимый мылер...
;)

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] Re: Oops, Re: I: OpenLDAP mailing list

[Mike Lykov]

В сообщении от Среда 11 Август 2004 13:49 Ivan Fedorov написал:

> Вообще-то вам написали $mailer, что типа подрузумевает ваш любимый мылер...

хех. извиняюсь, принял первый $ за приглашение комстроки ;)

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re[4]: [sisyphus] openldap & sasl2

[Oleg Frolkov]

Здравствуйте, Alexei.

Вы писали 10 августа 2004 г., 18:05:14:

AT> Попробовать выставить ldap_debug: побольше
    Побольше это сколько? В доке про цифры ничего не нашел :(
    Выставил 100 - от 10 не отличается.
AT> и запустить saslauthd из командной строки как

AT> # saslauthd -a ldap -O /usr/lib/sasl2/saslauthd.conf -d
    запустил #saslauthd -a ldap -O /etc/sasl2/saslauthd.conf -d
    Получил:
--------------------------------------
saslauthd[13546] :main            : num_procs  : 5
saslauthd[13546] :main            : mech_option: /etc/sasl2/saslauthd.conf
saslauthd[13546] :main            : run_path   : /var/run/saslauthd
saslauthd[13546] :main            : auth_mech  : ldap
saslauthd[13546] :ipc_init        : using accept lock file: /var/run/saslauthd/mux.accept
saslauthd[13546] :detach_tty      : master pid is: 0
saslauthd[13546] :ipc_init        : listening on socket: /var/run/saslauthd/mux
saslauthd[13546] :main            : using process model
saslauthd[13546] :have_baby       : forked child: 13548
saslauthd[13546] :have_baby       : forked child: 13549
saslauthd[13548] :get_accept_lock : acquired accept lock
saslauthd[13546] :have_baby       : forked child: 13550
saslauthd[13546] :have_baby       : forked child: 13551
saslauthd[13548] :rel_accept_lock : released accept lock
saslauthd[13549] :get_accept_lock : acquired accept lock
saslauthd[13548] :do_auth         : auth failure: [user=test@mydomain.ru] [service=imap] [realm=mydomain.ru] [mech=ldap] [reason=Unknown]
saslauthd[13548] :do_request      : response: NO
saslauthd[13549] :rel_accept_lock : released accept lock
saslauthd[13548] :get_accept_lock : acquired accept lock
saslauthd[13549] :do_auth         : auth failure: [user=test@mydomain.ru] [service=imap] [realm=] [mech=ldap] [reason=Unknown]
saslauthd[13549] :do_request      : response: NO
saslauthd[13548] :rel_accept_lock : released accept lock
saslauthd[13549] :get_accept_lock : acquired accept lock
saslauthd[13548] :do_auth         : auth failure: [user=test] [service=imap] [realm=mydomain.ru] [mech=ldap] [reason=Unknown]
saslauthd[13548] :do_request      : response: NO
saslauthd[13549] :rel_accept_lock : released accept lock
saslauthd[13548] :get_accept_lock : acquired accept lock
saslauthd[13549] :do_auth         : auth failure: [user=test] [service=imap] [realm=] [mech=ldap] [reason=Unknown]
saslauthd[13549] :do_request      : response: NO
----------------------------------------

ldapsearch выдает:
#ldapsearch -LLL -x -w adminpassword -D 'cn=admin,dc=mydomain,dc=ru' \
            -b 'dc=mydomain,dc=ru' 'cn=test'
--------------------------------------------
dn: cn=test,ou=users,dc=mydomain,dc=ru
cn: test
givenName: test
mail: test@mydomain.ru
objectClass: inetOrgPerson
objectClass: uidObject
objectClass: organizationalPerson
objectClass: top
sn: UTM created mail account
uid: test
userPassword:: passwordhash
---------------------------------------------

Куда копать дальше? Конфиги те-же что и в первом письме.

-- 
С уважением,
 Oleg                          mailto:rcc-of@penza.com.ru

Re: Re[4]: [sisyphus] openldap & sasl2

[vserge]

Добрый день

Вы написали Oleg Frolkov <rcc-of@penza.com.ru> Wed, 11 Aug 2004 17:17:19
+0400:

> Здравствуйте, Alexei.
> 
> Вы писали 10 августа 2004 г., 18:05:14:
> 
> AT> Попробовать выставить ldap_debug: побольше
>     Побольше это сколько? В доке про цифры ничего не нашел :(
>     Выставил 100 - от 10 не отличается.
попробуй "-1" либо "1024"



-- 
Freeze был сорван ввиду того, что freeze'ить пока что нечего.
		-- ldv in devel@

Re[4]: [sisyphus] openldap & sasl2

[rcc-of]

Здравствуйте, Alexei.

Вы писали 10 августа 2004 г., 18:05:14:

> On Tue, 10 Aug 2004 17:51:29 +0400
> Oleg Frolkov <rcc-of@penza.com.ru> wrote:

>> Здравствуйте, Alexei.
>> 
>> Вы писали 10 августа 2004 г., 16:51:56:
>> 
>> >> mail: test
>> AT> ^^^^^^^^^^^^^^^
>> >> mail: test@mydomain.ru
>> AT> ^^^^^^^^^^^^^^^^^^^^^^^^^
>> 
>> AT> Смотрите подчеркнутое. У вас две записи mail, что есть как бы
>> AT> неправильно. Решений два: 1 - убрать одну лишнюю запись, 2 - в
>> AT> /etc/sasl2/saslauthd.conf прописать строку типа:
>> 
>> AT> ldap_size_limit: 2
>>     Пробовал и так и так :( результат абсолютно тот-же.
>>     Как получить более подробный лог? А то какие-то сообщения об
>>     ошибках куцые...

> Попробовать выставить ldap_debug: побольше и запустить saslauthd из
> командной строки как
  Пробовал выставлять, не помогло. Выставил побольше дебаг самого
  LDAP - при вызове testsaslauthd обращений к LDAP нет.
  Куда еще копать?

-- 
С уважением,
 rcc-of                          mailto:rcc-of@penza.com.ru