Hej alle,

Jeg har oprettet AIX LDAP-klienten på AIX 5.3.9 og det er i orden nobel, ved hjælp af beskrivelserne i Redbook for gennemførelse af LDAP i en heterogen miljø.
Jeg tilføjede SSL-kryptering til LDAP-klient dæmon's config og skabt en nøgle-db og importeret en underskrevet erklæring fra vores CA.

Når jeg bruger ldapsearch med SSL og se den trafik med tcpdump, alt er krypteret, som det formodes at være.
Ved udstedelsen lsldap, trafikken er krypteret for.

Når jeg prøver at logge ind med en LDAP-kun-konto, jeg kan komme på systemet uden problemer, men trafikken er ikke krypteret på alle. Jeg kan se i tcpdump output alt uncrypted.

Jeg prøvede en masse forskellige indstillinger, men uden held. Her er min nuværende ldap.cfg:

serverschematype:rfc2307
ldapservers:10.10.10.10
binddn:cn=admin,o=services
bindpwd:{DESv2}somethingcryptedhere
authtype:ldap_auth
searchmode:OS
useSSL:yes
ldapsslport:636
ldapsslkeyf:/etc/security/ldap/key.kdb
ldapsslkeypwd:{DESv2}somethingcryptedhere
userclasses:posixaccount,account,shadowaccount
groupclasses:posixgroup
userattrmappath:/etc/security/ldap/2307user.map
groupattrmappath:/etc/security/ldap/2307group.map
userbasedn:ou=users,o=company,c=de
groupbasedn:ou=users,o=company,c=de
defaultentrylocation:LDAP

HM?

LDAP-kryptering bare krypterer kommunikation til LDAP-server, som autentifikation, bruger / gruppe oplysninger, ldapsearch naturligvis også

Når du er på maskinen, ldaps arbejdet er udført, skal du bruge ssh / sftp at kryptere hele Dataoverførsel

edit: oh Jeg tror du mener login-oplysninger er ikke krypteret?

Jeg bruger næsten samme opsætning med Tivoli Directory Server, vil jeg se om det ikke er krypteret for på min aix systemer, vil være meget dårligt, hvis thats sagen

Det er netop, hvad det synes ikke at gøre, når jeg en ssh-login med en LDAP-baseret konto. Men jeg tror jeg har fundet ud af hvad der går galt, da der er en shell script der kaldes gør en ldapsearch at løse forskellige loginshells baseret på ldapgroups osv.

Sorry for den støj, fandt jeg det.

ok så jeg ikke behøver at analysere tcpdump, hader at

du kan lukke port 389 på din ldap-server, så der er ingen måde at sende ukrypterede oplysninger

Hej,
Jeg har lige fået et andet spørgsmål om LDAP over SSL:
På Linux kan du indstille i ldap.cfg med "TLS_REQCERT \u003d tillader", at enhver CA er accepteret. Er der nogen mulighed for at gøre det på AIX? Jeg har checket alle muligheder / etc / security / ldap / ldap.cfg og ikke finde en, der kunne svare til, at ovennævnte på Linux.

Målet er at omgå de CA-certifikater, som udløber om 2 år medfører en opdatering osv. på mere end 100 servere. Vi ønsker at have SSL-krypteret kommunikation til ldap (secldapclntd) og ldapsearch osv. samtidig acceptere enhver form for bevis / CA.