день добрый! хочу поделиться ситуацией которая возникла у меня... , а заодно и узнать ответ на вопрос сколько времени живут сертификаты cakey.pem ldap01_slapd_key.pem ldap01_slapd_cert.pem, настраивал данную систему 1,5 года назад все работало без каких либо проблем, до вчерашнего дня, весь домен стал в ступор , авторизация пользователей проходила очень долго, сетевое окружение не отображалось, после перезагрузки PDC вход для пользователей вообще стал писать что данный домен не доступен или невозможно подключиться...
в логах постоянно сыпалась ошибка "Failed to issue the StarrtTLS instruction connect error" причем на ровном месте....
первым делом отключил в samba пункт
ldap ssl = off желаемого результата не дало, стал перебирать конфигурацию остановился на моменте
smbldap-passwd -a admins в котором сыпалась ошибка
Could not start_tls: Failed to open Private Keyerror:02001002:system library:fopen:Нет такого файла at /usr/share/perl5/smbldap_tools.pm line 341.
в одном из постов Автор писал про не правильность путей выше памянутых сертификатов, решено было проделать данную часть мануала заново
apt-get install gnutls-bin
Создаём ключ для Certificate Authority (CA)
sh -c "certtool --generate-privkey > /etc/ssl/private/cakey.pem"
Создаём файл /etc/ssl/ca.info
cd /etc/ssl && >ca.info
следующего содержания
cn = Example Company
ca
cert_signing_key
Example Company меняем на своё
Теперь создаём self-signed CA сертификат
certtool --generate-self-signed --load-privkey /etc/ssl/private/cakey.pem \
--template /etc/ssl/ca.info --outfile /etc/ssl/certs/cacert.pem
Создаём закрытый ключ для нашего сервера При создании замените ldap01 на hostname вашего сервера
sh -c "certtool --generate-privkey > /etc/ssl/private/ldap01_slapd_key.pem"
Чтобы подписать сертификат сервера с СА, создадим файл /etc/ssl/ldap01.info
>/etc/ssl/ldap01.info
следующего содержания (При создании замените ldap01 на hostname вашего сервера):
organization = Example Company
cn = ldap01.example.com
tls_www_server
encryption_key
signing_key
Создаём сертификат для сервера (При создании замените ldap01 на hostname вашего сервера)
certtool --generate-certificate --load-privkey /etc/ssl/private/ldap01_slapd_key.pem \
--load-ca-certificate /etc/ssl/certs/cacert.pem --load-ca-privkey /etc/ssl/private/cakey.pem \
--template /etc/ssl/ldap01.info --outfile /etc/ssl/certs/ldap01_slapd_cert.pem
Теперь мы имеем certificate, key, и CA cert для установки, используем утилиту ldapmodify для добавления новых опций в конфигурацию
Вводим в консоли
ldapmodify -Y EXTERNAL -H ldapi:///
затем вставляем следующее:
dn: cn=config
add: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/ssl/certs/cacert.pem
-
add: olcTLSCertificateFile
olcTLSCertificateFile: /etc/ssl/certs/ldap01_slapd_cert.pem
-
add: olcTLSCertificateKeyFile
olcTLSCertificateKeyFile: /etc/ssl/private/ldap01_slapd_key.pem
после сей операции домен заработал в прежнем режиме!!
Соответственно можно узнать как-нибудь срок жизни сертификатов? (может я просто не знаю
)
что касается стабильности нареканий нет вообще! (за исключением выше написанного)
Тема: [Wiki] [HOWTO] Настройка Samba 3(PDC)+OpenLDAP2.4+Gosa2.6.11 в Ubuntu 10.04 (Прочитано 75817 раз)
