Привет всем,

Я создал Экс LDAP клиента на AIX 5.3.9 и он работает нормально, используя описания в Redbook реализации LDAP в гетерогенной среде.
Я добавил SSL шифрование для LDAP клиента демон в конфигурации и создали ключевые DB и импортного подписанного сертификата из нашей ЦА.

Когда я ldapsearch с использованием SSL и трафик с tcpdump, все в зашифрованном виде, как оно должно быть.
При выдаче lsldap, трафик шифруется тоже.

Когда я пытаюсь войти с LDAP только счет, то я могу получить от системы без проблем, но трафик не шифруются вообще. Я вижу в tcpdump производства все uncrypted.

Я пробовал много разных настроек, но без успеха. Вот мои текущие ldap.cfg:

serverschematype:rfc2307
ldapservers:10.10.10.10
binddn:cn=admin,o=services
bindpwd:{DESv2}somethingcryptedhere
authtype:ldap_auth
searchmode:OS
useSSL:yes
ldapsslport:636
ldapsslkeyf:/etc/security/ldap/key.kdb
ldapsslkeypwd:{DESv2}somethingcryptedhere
userclasses:posixaccount,account,shadowaccount
groupclasses:posixgroup
userattrmappath:/etc/security/ldap/2307user.map
groupattrmappath:/etc/security/ldap/2307group.map
userbasedn:ou=users,o=company,c=de
groupbasedn:ou=users,o=company,c=de
defaultentrylocation:LDAP

HM?

с LDAP-шифрование только шифрует сообщение для LDAP-сервера, как аутентификация пользователей / групп, ldapsearch тоже конечно

Если вы на машине, LDAPS работа не будет сделано, вам нужно использовать SSH / SFTP для шифрования данных в целом

Edit: Ну я думаю есть регистрационная информация не зашифрована?

Я использую почти то же настройки с Tivoli каталоге сервера, я увидите, если она не зашифрована слишком по моему систем AIX, будет очень плохо, если бы Thats дело

Это именно то, что кажется не делать, если я один SSH вход с LDAP основанные счета. Но думаю, я выяснил, что происходит не так, поскольку существует скрипт вызова него ldapsearch сортировать различные loginshells основанные на ldapgroups т.д.

Извините за шум, я нашел его.

OK, чтобы не нужно анализировать tcpdump, которые ненавидят

Вы можете закрыть порт 389 на ваш LDAP-сервера, так что нет возможности отправлять информацию в незашифрованном виде

Привет,
Я только что получил еще один вопрос по LDAP над SSL:
В Linux вы можете настроить в ldap.cfg с "TLS_REQCERT \u003d Разрешить", чтобы любые CA принято. Есть ли возможность сделать это на AIX? Я проверил все возможные варианты / ETC / безопасность / LDAP / ldap.cfg и не удалось найти один, который может быть аналогичен тому, что говорилось выше о Linux.

Цель заключается в том, чтобы обойти CA сертификатов, которые истекают в 2 лет, что привело к обновлению и т.д. на более чем 100 серверов. Мы хотим иметь кодировке связи для LDAP (secldapclntd) и т.д. ldapsearch при принятии любого рода свидетельства / СА.