ldapsearch mot activedirectory med ssl

[dabear]

Hei. Jeg driver og utvikler noe php-programvare for å legge til noe i vår active directory. Vi har flere AD-servere som kjører win2003 og win2008-domenekontrollere. jeg får til å koble til AD gjennom LDAP, men LDAPS går ikke. Samme feil får jeg gjennom cli og fra php, nemlig "A TLS packet with unexpected length was received..". Serveren kjører Ubuntu 10.04.3 LTS

 

root@sm13:~# ldapsearch -Hldaps://baz -tt -x -D "[email protected]" -b "dc=bar,dc=local" -W -L "cn=computerobject" -d 9
ldap_url_parse_ext(ldaps://baz)
ldap_create
ldap_url_parse_ext(ldaps://baz:636/??base)
Enter LDAP Password:
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP baz:636
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying x.x.x.x:636
ldap_pvt_connect: fd: 3 tm: -1 async: 0
TLS: can't connect: A TLS packet with unexpected length was received..
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
root@sm13:~# TLS: can't connect: A TLS packet with unexpected length was received.

Endret 30. september 2011 av dabear

[mikeys]

Kanskje http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=466477 kan gi noen pekepinner.

 

Slik jeg forstod det skyldes problemene at gnutls ikke er begeistret over lange 'certificate-chains'.

 

Du kunne kanskje også prøvd å kjøre Wireshark eller lignende mens du prøver ut programvaren din,

ta en liten titt på pakkene som går frem og tilbake.

[dabear]

Takk for lenka, men den hjalp meg ikke mye. Jeg har fulgt denne guiden, men tilpasset den til linux: http://greg.cathell.net/php_ldap_ssl.html

 

Det merkelige er at alle ldap-tjenere (ad-kontrollere) feiler, unntatt en. Denne AD-kontrolleren er dessverre på WANet så jeg kan ikke stole på å bruke denne i min programvare. Andre tips tas imot med takk.

[tingo]

Og du er sikker på at alle DC'ene har ldap-tjenesten aktivert?

[:Francis:]

Får du logget deg på AD på port 636 + ssl med f.eks LDAP Admin?

 

Jeg ville prøvd å få til en fungerende tilkobling med et slikt verktøy først, for å verifisere at serveren godtar tilkoblingen.

 

Det er kanskje innlysende, men har du sjekket at port 636 er åpen?

 

Francis

[dabear]

Og du er sikker på at alle DC'ene har ldap-tjenesten aktivert?

Ja.

 

Får du logget deg på AD på port 636 + ssl med f.eks LDAP Admin?

 

Jeg ville prøvd å få til en fungerende tilkobling med et slikt verktøy først, for å verifisere at serveren godtar tilkoblingen.

 

Det er kanskje innlysende, men har du sjekket at port 636 er åpen?

 

Francis

 

Port 636 er åpen. LDAP Admin gir meg "LDAP error: Server Down!". Certificate authority er installert på dcen, så jeg er sikker på at ssl er tilgjengelig..