Forums Linux Linux Debian

[LENNY] Authentification LDAP en TLS sur Apache

Le jeudi 23 Avril 2009 à 17:20

Jean-Max Redonnet

--001636c5ad4d0d054e04683a66d1
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Bonjour,

MalgrÃ© tous mes efforts, multiples et rÃ©pÃ©tÃ©s, je ne pa=
rviens dÃ©finitivement
pas Ã configurer l'authentification LDAP en TLS sur mon serveur Apache=
2.2.

VoilÃ ce que j'ai mis dans le /etc/apache2/ports.conf inclus dans
/etc/apache2/apache2.conf

LDAPTrustedGlobalCert CA_BASE64 /etc/ssl/cacert.pem

<VirtualHost 130.120.xxx.xxx:80>

LDAPTrustedClientCert CERT_BASE64 /etc/ssl/certs/xxx.ups-tlse.fr.crt
LDAPTrustedClientCert KEY_BASE64 /etc/ssl/private/xxx.ups-tlse.fr.key
LDAPTrustedMode TLS

<Location /ldap-status>
SetHandler ldap-status
order deny,allow
allow from xxx.ups-tlse.fr
allow from xxx.ups-tlse.fr
AuthType basic
AuthName "Auth LDAP"
AuthBasicProvider ldap
AuthLDAPURL ldap://
xxx.ups-tlse.fr/ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr?uid
AuthzLDAPAuthoritative off
require valid-user
</Location>

</VirtualHost>

OpenLDAP est installÃ© et marche bien. Apache idem.
Mes certificats sont bons (je les utilise par ailleurs avec succÃ¨s).

Je ne vois pas d'oÃ¹ peut venir le problÃ¨me. Alors avant de switch=
er vers le
module d'authentification via PAM (qui comble de l'ironie utilise LDAP avec
bonheur), je m'en remet aux gens qui savent

Dans la doc d'Apache, j'ai trouvÃ© Ã§a :
"The documentation for the SDK claims to support both SSL and STARTTLS,
however STARTTLS does not seem to work on all versions of the SDK. The
SSL/TLS mode can be set using the LDAPTrustedMode parameter. If an ldaps://
URL is specified, SSL mode is forced. The OpenLDAP documentation notes that
SSL (ldaps://) support has been deprecated to be replaced with TLS, althoug=
h
the SSL functionality still works."
Alors, je me dis que je suis peut-Ãªtre pas le seul Ã rencontrer d=
es
problÃ¨mes

Si vous avez des retours d'expÃ©rience ou des suggestions, je suis tout=
ouÃ¯

Merci d'avance.

jMax

--001636c5ad4d0d054e04683a66d1
Content-Type: text/html; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Bonjour, MalgrÃ© tous mes efforts, multiples et rÃ©pÃ©t=
Ã©s, je ne parviens dÃ©finitivement pas Ã configurer l'aut=
hentification LDAP en TLS sur mon serveur Apache2.2. VoilÃ ce q=
ue j'ai mis dans le /etc/apache2/ports.conf inclus dans /etc/apache2/ap=
ache2.conf 
 LDAPTrustedGlobalCert CA_BASE64 /etc/ssl/cacert.pem <VirtualH=
ost 130.120.xxx.xxx:80> Â Â Â LDAPTrustedClientCert =
CERT_BASE64 /etc/ssl/certs/xxx.ups-tlse.fr.crt Â Â Â LDAPTr=
ustedClientCert KEY_BASE64 /etc/ssl/private/xxx.ups-tlse.fr.key 
Â Â Â LDAPTrustedMode TLS Â Â Â <Locati=
on /ldap-status> Â Â Â Â Â Â Â SetHandle=
r ldap-status Â Â Â Â Â Â Â order deny,allo=
w Â Â Â Â Â Â Â allow from <a href="http:=
//xxx.ups-tlse.fr">xxx.ups-tlse.fr</a> Â Â Â Â Â Â=
Â allow from <a href="http://xxx.ups-tlse.fr">xxx...lt;/a>=
 
Â Â Â Â Â Â Â AuthType basic Â Â =
Â Â Â Â Â AuthName "Auth LDAP" Â Â=
Â Â Â Â Â AuthBasicProvider ldap Â Â Â=
Â Â Â Â AuthLDAPURL ldap://<a href="http://xxx.ups-tl=
se.fr/ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr?uid">xxx.ups-tl=
se.fr/ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr?uid</a> 
Â Â Â Â Â Â Â AuthzLDAPAuthoritative off =
Â Â Â Â Â Â Â require valid-user Â Â=
Â </Location> </VirtualHost> OpenLDAP est=
installÃ© et marche bien. Apache idem. Mes certificats sont bons (j=
e les utilise par ailleurs avec succÃ¨s). 
 Je ne vois pas d'oÃ¹ peut venir le problÃ¨me. Alors avant d=
e switcher vers le module d'authentification via PAM (qui comble de l&#=
39;ironie utilise LDAP avec bonheur), je m'en remet aux gens qui savent=
 
 Dans la doc d'Apache, j'ai trouvÃ© Ã§a : "The d=
ocumentation for the SDK claims to support both SSL and
STARTTLS, however STARTTLS does not seem to work on all versions
of the SDK. The SSL/TLS mode can be set using the
LDAPTrustedMode parameter. If an ldaps:// URL is specified,
SSL mode is forced. The OpenLDAP documentation notes that SSL
(ldaps://) support has been deprecated to be replaced with TLS,
although the SSL functionality still works." Alors, je me d=
is que je suis peut-Ãªtre pas le seul Ã rencontrer des problÃ¨=
mes Si vous avez des retours d'expÃ©rience ou des suggest=
ions, je suis tout ouÃ¯ 
 Merci d'avance. jMax 

--001636c5ad4d0d054e04683a66d1--

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists Vous pouvez aussi ajouter le mot
``spam'' dans vos champs "From" et "Reply-To:"

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers debian-user-french-REQUEST@lists.debian.org
En cas de soucis, contactez EN ANGLAIS listmaster@lists.debian.org

Questions / Réponses high-tech

authentification LDAP, filtres, et TLS

Poser une question

Vidéos High-Tech et Jeu Vidéo

Hitman Absolution : trailer E3 2012
Square Enix nous propose de visionner la vidéo de Hitman Absolution qui sera diffusée...
Doom 3 BFG Edition : un retour en HD
Bethesda Softworks vient d'annoncer le développement d'une réédition HD de Doom 3,...

Plus de vidéos

Téléchargements

Widgets

Gadget Overkill Apache 2
Il s'agit d'un gadget ( ou widget ) pour le volet de Windows qui propose de jouer à un...
Bureautique

CVitae : éditer des CV
Besoin d'écrire un CV pour postuler à un emploi ? Le logiciel CVitae permet de rédiger...

Plus de téléchargements

Suivez GNT

Vos réponses

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !

Trier par : date / pertinence

Jean-Max Redonnet

Le 24/04/2009 à 13:50 #19181161

--001485f772b853d51f04684b8e96
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Tout d'abord merci pour ta rÃ©ponse.

1/ Je pense que les modules sont bien chargÃ©s ; en tout cas le
/etc/apache2/apache2.conf contient la directive
Include /etc/apache2/mods-enabled/*.load
qui inclut tous les fichiers .load de /etc/apache2/mods-enabled/ parmi
lesquels on trouve :
ldap.load qui contient LoadModule ldap_module
/usr/lib/apache2/modules/mod_ldap.so
et authnz_ldap.load qui contient LoadModule authnz_ldap_module
/usr/lib/apache2/modules/mod_authnz_ldap.so
Je pense que c'est suffisant pour pouvoir dire que les modules sont charg Ã©s
non ? Ou bien il y a un autre moyen de le vÃ©rifier (en interrogeant le
serveur en fonction par exemple ?)

2/ J'ai oubliÃ© de le prÃ©ciser, mais oui, bien sÃ»r, mon serve ur LDAP accepte
les connections TLS
Par exemple, quand je tape la commande :
ldapsearch -x *-ZZ* -H ldap://xxx.ups-tlse.fr -D
"cnmin,dc=xxx,dc=ups-tlse,dc=fr" -b
"ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr" -W

Aux niveaux des logs, j'obtiens :
slapd[18327]: conn=0 fd ACCEPT from IP0.120.xxx.xxx:41224
(IP0.120.xxx.xxx:389)
slapd[18327]: conn=0 op=0 EXT oid=1.3.6.1.4.1.1466.20037
slapd[18327]: conn=0 op=0 *STARTTLS*

slapd[18327]: conn=0 op=0 RESULT oid= err=0 text=
slapd[18327]: conn=0 fd *TLS established* tls_ssf8 ssf8
slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups-tlse ,dc=fr"
method8

slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups-tlse ,dc=fr"
mech=SIMPLE ssf=0
slapd[18327]: conn=0 op=1 RESULT tag err=0 text=
slapd[18327]: conn=0 op=2 SRCH
base="ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr" scope=2 de ref=0
filter="(objectClass=*)"

slapd[18327]: conn=0 op=2 SEARCH RESULT tag1 err=0 nentries=3 1 text=
slapd[18327]: conn=0 op=3 UNBIND
slapd[18327]: conn=0 fd closed

Au niveau du point 3/ de ta rÃ©ponse, je ne suis pas sÃ»r d'avoir compris la
chose Ã essayer ; mais en lisant l'exemple que tu retranscris et sur l equel
je me suis aussi appuyÃ© pour Ã©tablir ma config, je vois que tu me ts en avant
l'ajout de l'option TLS Ã la fin de la ligne AuthLDAPURL. Si j'ai bien lu la
doc, cette option ne sert qu'Ã surcharger la directive LDAPTrustedMode que
j'ai bien mis Ã TLS. Ou alors, il y a quelque chose qui m'a Ã©chap pÃ© :-(.
Quoi qu'il en soit, Ã§a ne marche pas, que je mettes TLS dans l'un ou
l'autre, ni mÃªme aux deux endroits.

Ce qui m'inquiÃ¨te le plus c'est qu'il m'affiche une internal server er ror au
lieu d'une authentification failed qui me paraÃ®traÃ®t de meilleur aloi.

En tout cas merci de te pencher sur mon problÃ¨me. Je suis Ã l'Ã ©coute de
toutes les idÃ©es qui pourraient me sortir de cette impasse.

jMax

2009/4/23 Tan.N

1/ A vÃ©rifier si les modules mod_ldap et mod_authnz_ldap sont charg Ã©s dans
apache.

2/ Petite question : ton serveur Ldap accepte-t-il les connexions TLS ?

3/ A essayer :
D'aprÃ¨s la doc d'Apache :
http://httpd.apache.org/docs/2.2/mo...singssltls

**********
The ability to create an SSL and TLS connections to an LDAP server is
defined by the directives LDAPTrustedGlobalCert LDAPTrustedClientCert LDAPTrustedMode These directives specify the CA and optional client certificates to be us ed,
as well as the type of encryption to be used on the connection (none, SSL or
TLS/STARTTLS).

# Establish an SSL LDAP connection on port 636. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER /certs/certfile.der

<Location /ldap-status>
SetHandler ldap-status
Order deny,allow
Deny from all
Allow from yourdomain.example.com
AuthLDAPURL ldaps://127.0.0.1/dc=example,dc=com?uid?one
AuthzLDAPAuthoritative off
Require valid-user
</Location>

# Establish a TLS LDAP connection on port 389. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER /certs/certfile.der

<Location /ldap-status>
SetHandler ldap-status
Order deny,allow
Deny from all
Allow from yourdomain.example.com
AuthLDAPURL ldap://127.0.0.1/dc=example,dc=com?uid?one *TLS*
AuthzLDAPAuthoritative off
Require valid-user
</Location>
***********

Jean-Max Redonnet a Ã©crit :

Bonjour,

MalgrÃ© tous mes efforts, multiples et rÃ©pÃ©tÃ©s, je ne parviens
dÃ©finitivement pas Ã configurer l'authentification LDAP en TLS sur mon
serveur Apache2.2.

VoilÃ ce que j'ai mis dans le /etc/apache2/ports.conf inclus dans
/etc/apache2/apache2.conf

LDAPTrustedGlobalCert CA_BASE64 /etc/ssl/cacert.pem

LDAPTrustedClientCert CERT_BASE64 /etc/ssl/certs/xxx.ups-tlse.fr.crt
LDAPTrustedClientCert KEY_BASE64 /etc/ssl/private/xxx.ups-tlse.fr.key
LDAPTrustedMode TLS

<Location /ldap-status>
SetHandler ldap-status
order deny,allow
allow from xxx.ups-tlse.fr
allow from xxx.ups-tlse.fr
AuthType basic
AuthName "Auth LDAP"
AuthBasicProvider ldap
AuthLDAPURL ldap://
xxx.ups-tlse.fr/ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr?uid
AuthzLDAPAuthoritative off
require valid-user
</Location>

</VirtualHost>

OpenLDAP est installÃ© et marche bien. Apache idem.
Mes certificats sont bons (je les utilise par ailleurs avec succÃ¨s).

Je ne vois pas d'oÃ¹ peut venir le problÃ¨me. Alors avant de swit cher vers le
module d'authentification via PAM (qui comble de l'ironie utilise LDAP av ec
bonheur), je m'en remet aux gens qui savent...

Dans la doc d'Apache, j'ai trouvÃ© Ã§a :
"The documentation for the SDK claims to support both SSL and STARTTLS,
however STARTTLS does not seem to work on all versions of the SDK. The
SSL/TLS mode can be set using the LDAPTrustedMode parameter. If an ldaps: //
URL is specified, SSL mode is forced. The OpenLDAP documentation notes th at
SSL (ldaps://) support has been deprecated to be replaced with TLS, altho ugh
the SSL functionality still works."
Alors, je me dis que je suis peut-Ãªtre pas le seul Ã rencontrer des
problÃ¨mes...

Si vous avez des retours d'expÃ©rience ou des suggestions, je suis to ut ouÃ¯

Merci d'avance.

jMax

--001485f772b853d51f04684b8e96
Content-Type: text/html; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

qui inclut tous les fichiers .load de /etc/apache2/mods-enabled/ parmi lesq uels on trouve : 
Â Â Â ldap.load qui contient LoadModule ldap_module /usr/lib/a pache2/modules/mod_ldap.so

slapd[18327]: conn=0 op=0 RESULT oid= err=0 text= slapd[183 27]: conn=0 fd TLS est ablished tls_ssf8 ssf8 slapd[18327]: conn=0 op =1 BIND dn="cnmin,dc=xxx,dc=ups-tlse,dc=fr" method 8 

slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups -tlse,dc=fr" mech=SIMPLE ssf=0 slapd[18327]: conn=0 op= 1 RESULT tag err=0 text= slapd[18327]: conn=0 op=2 SRCH b ase="ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr" sco pe=2 deref=0 filter="(objectClass=*)" 

slapd[18327]: conn=0 op=2 SEARCH RESULT tag1 err=0 nentries=3 1 text=

<div bgcolor="#ffffff" text="#000000">
 
1/ <code>A vÃ©rifier si les modules mod_ldap et mod_authnz_ldap sont
chargÃ©s dans apache. 
 
</code>2/ Petite question : ton serveur Ldap accepte-t-il les
connexions TLS ? 
 
3/ A essayer : 
D'aprÃ¨s la doc d'Apache :Â
 
********** 
The ability to create an SSL and TLS connections to an LDAP server is
defined by the directives LDAPTrustedGlobalCert LDAPTrustedClientCert LDAPTrustedMode optional client certificates to be used, as well as the type of
encryption to be used on the connection (none, SSL or TLS/STARTTLS).
<div>
 
# mod_ldap and mod_authnz_ldap be loaded. Change the 
# " 
LDAPTrustedGlobalCert CA_DER /certs/certfile.der 
 
<Location /ldap-status> 
 SetHandler ldap-status 
Order deny,allow 
Deny from all 
Allow from AuthLDAPURL ldaps:// AuthzLDAPAuthoritative off 
Require valid-user 
 </Location> </code>
</div>
<div>
# mod_ldap and mod_authnz_ldap be loaded. Change the 
# " 
LDAPTrustedGlobalCert CA_DER /certs/certfile.der 
 
<Location /ldap-status> 
 SetHandler ldap-status 
Order deny,allow 
Deny from all 
Allow from AuthLDAPURL AuthzLDAPAuthoritative off 
Require valid-user 
 </Location> </code>
</div>
*********** 
 
Jean-Max Redonnet a Ã©critÂ :
<div><div></div><div><blockquote type="cite">Bonjour, 
 
MalgrÃ© tous mes efforts, multiples et rÃ©pÃ©tÃ©s, je ne pa rviens
dÃ©finitivement pas Ã configurer l'authentification LDAP en TL S sur mon
serveur Apache2.2. 
 
VoilÃ ce que j'ai mis dans le /etc/apache2/ports.conf inclus dans
/etc/apache2/apache2.conf 
 
LDAPTrustedGlobalCert CA_BASE64 /etc/ssl/cacert.pem 
 
<VirtualHost 130.120.xxx.xxx:80> 
 
Â Â Â LDAPTrustedClientCert CERT_BASE64 /etc/ssl/certs/xxx.ups -tlse.fr.crt 
Â Â Â LDAPTrustedClientCert KEY_BASE64
/etc/ssl/private/xxx.ups-tlse.fr.key 
Â Â Â LDAPTrustedMode TLS 
 
Â Â Â <Location /ldap-status> 
Â Â Â Â Â Â Â SetHandler ldap-status 
Â Â Â Â Â Â Â order deny,allow 
Â Â Â Â Â Â Â allow from Â Â Â Â Â Â Â allow from Â Â Â Â Â Â Â AuthType basic 
Â Â Â Â Â Â Â AuthName "Auth LDAP"
Â Â Â Â Â Â Â AuthBasicProvider ldap 
Â Â Â Â Â Â Â AuthLDAPURL Â Â Â Â Â Â Â AuthzLDAPAuthoritative off 
Â Â Â Â Â Â Â require valid-user 
Â Â Â </Location> 
 
</VirtualHost> 
 
OpenLDAP est installÃ© et marche bien. Apache idem. 
Mes certificats sont bons (je les utilise par ailleurs avec succÃ¨s). 
 
Je ne vois pas d'oÃ¹ peut venir le problÃ¨me. Alors avant de sw itcher
vers le module d'authentification via PAM (qui comble de l'ironie
utilise LDAP avec bonheur), je m'en remet aux gens qui savent... 
 
Dans la doc d'Apache, j'ai trouvÃ© Ã§a : 
"The documentation for the SDK claims to support both SSL and STARTTLS ,
however STARTTLS does not seem to work on all versions of the SDK. The
SSL/TLS mode can be set using the LDAPTrustedMode parameter. If an
ldaps:// URL is specified, SSL mode is forced. The OpenLDAP
documentation notes that SSL (ldaps://) support has been deprecated to
be replaced with TLS, although the SSL functionality still works." 
Alors, je me dis que je suis peut-Ãªtre pas le seul Ã rencontrer d es
problÃ¨mes... 
 
Si vous avez des retours d'expÃ©rience ou des suggestions, je suis tout
ouÃ¯ 
 
Merci d'avance. 
 
jMax 
 
</blockquote>
 
</div></div></div>

</blockquote></div></div></div> 
</div> 

--001485f772b853d51f04684b8e96--

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists Vous pouvez aussi ajouter le mot
``spam'' dans vos champs "From" et "Reply-To:"

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS

-1 Répondre en citant

Jean-Max Redonnet

Le 24/04/2009 à 15:40 #19181851

--001636c5a3e91300e804684d1ad3
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Whaou ! Ãa c'est de la rÃ©activitÃ© !

Merci pour la commande a2enmod que je ne connaissait pas...
Quand je tape a2enmod authnz_ldap,
il me rÃ©ponds
Module ldap already enabled
Module authnz_ldap already enabled

Ils sont donc bien chargÃ©s...

Je n'ai pas essayÃ© de faire un test sans cryptage parce que mon serveu r LDAP
ne rÃ©ponds qu'en cryptÃ© (et comme je l'utilise en production pour d'autres
services, j'ai pas trop envie de bricoler sa config... Ceci Ã©tant, je
pourrais peut-Ãªtre essayer pendant le week-end...)

Suite Ã l'arrivÃ©e de ton message pendant la rÃ©daction de cel ui-ci, j'ai
ajoutÃ© STARTTLS Ã la directive AuthLDAPURL... et .... pas mieux : -(...
toujours Internal Server Error.

Le log Apache donne :

[warn] [client 130.120.xxx.xxx] [19769] auth_ldap authenticate: user
xxx authentication failed; URI /ldap-status [LDAP: ldap_start_tls_s()
failed][Connect error]

et sur le syslog, j'ai :

slapd[18327]: conn%2 fd ACCEPT from IP0.120.xxx.xxx:46943
(IP0.120.xxx.xxx:389)
slapd[18327]: conn%2 op=0 EXT oid=1.3.6.1.4.1.1466.20037
slapd[18327]: conn%2 op=0 STARTTLS
slapd[18327]: conn%2 op=0 RESULT oid= err=0 text=
slapd[18327]: conn%2 fd closed (TLS negotiation failure)

Ce qui m'indique que la negociation TLS Ã©choue, mais Ã§a je le sav ais dÃ©jÃ ...

Je ne vois toujours pas comment m'en sortir :-(

Mais je te remercie de tes efforts pour me venir en aide

Le 24 avril 2009 14:43, Tan.N

Bonjour,

1/ Un bon petit coup de "a2enmod nom-du-module" ne fait pas de mal pour l es
2 modules d'auth ldap
2/ OK pour le TLS si le ldapsearch rÃ©pond comme il faut
3/ Juste avant de passer en TLS ou SSL, as tu essayÃ© de faire un tes t sans
cryptage ?
Sinon que donne les log d'apache ?

TN

Jean-Max Redonnet a Ã©crit :

Tout d'abord merci pour ta rÃ©ponse.

1/ Je pense que les modules sont bien chargÃ©s ; en tout cas le
/etc/apache2/apache2.conf contient la directive
Include /etc/apache2/mods-enabled/*.load
qui inclut tous les fichiers .load de /etc/apache2/mods-enabled/ parmi
lesquels on trouve :
ldap.load qui contient LoadModule ldap_module
/usr/lib/apache2/modules/mod_ldap.so
et authnz_ldap.load qui contient LoadModule authnz_ldap_module
/usr/lib/apache2/modules/mod_authnz_ldap.so
Je pense que c'est suffisant pour pouvoir dire que les modules sont charg Ã©s
non ? Ou bien il y a un autre moyen de le vÃ©rifier (en interrogeant le
serveur en fonction par exemple ?)

2/ J'ai oubliÃ© de le prÃ©ciser, mais oui, bien sÃ»r, mon ser veur LDAP accepte
les connections TLS
Par exemple, quand je tape la commande :
ldapsearch -x *-ZZ* -H ldap://xxx.ups-tlse.fr -D
"cnmin,dc=xxx,dc=ups-tlse,dc=fr" -b
"ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr" -W

Aux niveaux des logs, j'obtiens :
slapd[18327]: conn=0 fd ACCEPT from IP0.120.xxx.xxx:41224 (I P0.120.xxx.xxx:389)
slapd[18327]: conn=0 op=0 EXT oid=1.3.6.1.4.1.1466.20037
slapd[18327]: conn=0 op=0 *STARTTLS*

slapd[18327]: conn=0 op=0 RESULT oid= err=0 text=
slapd[18327]: conn=0 fd *TLS established* tls_ssf8 ssf8
slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups-tl se,dc=fr" method8

slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups-tl se,dc=fr" mech=SIMPLE ssf=0
slapd[18327]: conn=0 op=1 RESULT tag err=0 text=
slapd[18327]: conn=0 op=2 SRCH base="ou=Users,ou=People,dc=x xx,dc=ups-tlse,dc=fr" scope=2 deref=0 filter="(objectClass=*)"

slapd[18327]: conn=0 op=2 SEARCH RESULT tag1 err=0 nentries 1 text=
slapd[18327]: conn=0 op=3 UNBIND
slapd[18327]: conn=0 fd closed

Au niveau du point 3/ de ta rÃ©ponse, je ne suis pas sÃ»r d'avoi r compris la
chose Ã essayer ; mais en lisant l'exemple que tu retranscris et sur lequel
je me suis aussi appuyÃ© pour Ã©tablir ma config, je vois que tu mets en avant
l'ajout de l'option TLS Ã la fin de la ligne AuthLDAPURL. Si j'ai bi en lu la
doc, cette option ne sert qu'Ã surcharger la directive LDAPTrustedMo de que
j'ai bien mis Ã TLS. Ou alors, il y a quelque chose qui m'a Ã©ch appÃ© :-(.
Quoi qu'il en soit, Ã§a ne marche pas, que je mettes TLS dans l'un ou
l'autre, ni mÃªme aux deux endroits.

Ce qui m'inquiÃ¨te le plus c'est qu'il m'affiche une internal server error
au lieu d'une authentification failed qui me paraÃ®traÃ®t de meil leur aloi.

En tout cas merci de te pencher sur mon problÃ¨me. Je suis Ã l' Ã©coute de
toutes les idÃ©es qui pourraient me sortir de cette impasse.

jMax

2009/4/23 Tan.N

1/ A vÃ©rifier si les modules mod_ldap et mod_authnz_ldap sont charg Ã©s
dans apache.

2/ Petite question : ton serveur Ldap accepte-t-il les connexions TLS ?

3/ A essayer :
D'aprÃ¨s la doc d'Apache :
http://httpd.apache.org/docs/2.2/mo...singssltls

**********
The ability to create an SSL and TLS connections to an LDAP server is
defined by the directives LDAPTrustedGlobalCert LDAPTrustedClientCert LDAPTrustedMode These directives specify the CA and optional client certificates to be u sed,
as well as the type of encryption to be used on the connection (none, SS L or
TLS/STARTTLS).

# Establish an SSL LDAP connection on port 636. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER /certs/certfile.der

<Location /ldap-status>
SetHandler ldap-status
Order deny,allow
Deny from all
Allow from yourdomain.example.com
AuthLDAPURL ldaps://127.0.0.1/dc=example,dc=com?uid?one
AuthzLDAPAuthoritative off
Require valid-user
</Location>

# Establish a TLS LDAP connection on port 389. Requires that
# mod_ldap and mod_authnz_ldap be loaded. Change the
# "yourdomain.example.com" to match your domain.

LDAPTrustedGlobalCert CA_DER /certs/certfile.der

<Location /ldap-status>
SetHandler ldap-status
Order deny,allow
Deny from all
Allow from yourdomain.example.com
AuthLDAPURL ldap://127.0.0.1/dc=example,dc=com?uid?one *TLS*
AuthzLDAPAuthoritative off
Require valid-user
</Location>
***********

Jean-Max Redonnet a Ã©crit :

Bonjour,

MalgrÃ© tous mes efforts, multiples et rÃ©pÃ©tÃ©s, je ne parviens
dÃ©finitivement pas Ã configurer l'authentification LDAP en TLS sur mon
serveur Apache2.2.

VoilÃ ce que j'ai mis dans le /etc/apache2/ports.conf inclus dans
/etc/apache2/apache2.conf

LDAPTrustedGlobalCert CA_BASE64 /etc/ssl/cacert.pem

LDAPTrustedClientCert CERT_BASE64 /etc/ssl/certs/xxx.ups-tlse.fr.crt
LDAPTrustedClientCert KEY_BASE64 /etc/ssl/private/xxx.ups-tlse.fr.ke y
LDAPTrustedMode TLS

<Location /ldap-status>
SetHandler ldap-status
order deny,allow
allow from xxx.ups-tlse.fr
allow from xxx.ups-tlse.fr
AuthType basic
AuthName "Auth LDAP"
AuthBasicProvider ldap
AuthLDAPURL ldap://
xxx.ups-tlse.fr/ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr?ui d
AuthzLDAPAuthoritative off
require valid-user
</Location>

</VirtualHost>

OpenLDAP est installÃ© et marche bien. Apache idem.
Mes certificats sont bons (je les utilise par ailleurs avec succÃ¨s) .

Je ne vois pas d'oÃ¹ peut venir le problÃ¨me. Alors avant de swi tcher vers
le module d'authentification via PAM (qui comble de l'ironie utilise LDA P
avec bonheur), je m'en remet aux gens qui savent...

Dans la doc d'Apache, j'ai trouvÃ© Ã§a :
"The documentation for the SDK claims to support both SSL and STARTTLS,
however STARTTLS does not seem to work on all versions of the SDK. The
SSL/TLS mode can be set using the LDAPTrustedMode parameter. If an ldaps ://
URL is specified, SSL mode is forced. The OpenLDAP documentation notes t hat
SSL (ldaps://) support has been deprecated to be replaced with TLS, alth ough
the SSL functionality still works."
Alors, je me dis que je suis peut-Ãªtre pas le seul Ã rencontre r des
problÃ¨mes...

Si vous avez des retours d'expÃ©rience ou des suggestions, je suis t out ouÃ¯

Merci d'avance.

jMax

--001636c5a3e91300e804684d1ad3
Content-Type: text/html; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

Whaou ! Ãa c'est de la rÃ©activitÃ© ! [warn] [client 130.120.xxx.xxx] [19769] auth_ldap authenticate: user xxx a uthentication failed; URI /ldap-status [LDAP: ldap_start_tls_s() failed][Co nnect error] slapd[18327]: conn%2 op=0 EXT oid=1.3.6.1.4.1.1466.20037 slap d[18327]: conn%2 op=0 STARTTLS slapd[18327]: conn%2 op=0 R ESULT oid= err=0 text= slapd[18327]: conn%2 fd closed ( TLS negotiation failure)</pre>

<div bgcolor="#ffffff" text="#000000">
Â Â Â Â Â Â Â Bonjour, 
 
1/ Un bon petit coup de "a2enmod nom-du-module" ne fait pas de ma l pour
les 2 modules d'auth ldap 
2/ OK pour le TLS si le ldapsearch rÃ©pond comme il faut 
3/ Juste avant de passer en TLS ou SSL, as tu essayÃ© de faire un test
sans cryptage ? 
Sinon que donne les log d'apache ? 
 
TN<div><div></div><div class="h5"> 
 
Jean-Max Redonnet a Ã©critÂ :
<blockquote type="cite">
 
1/ Je pense que les modules sont bien chargÃ©s ; en tout cas le
/etc/apache2/apache2.conf contient la directive 
Include /etc/apache2/mods-enabled/*.load 
qui inclut tous les fichiers .load de /etc/apache2/mods-enabled/ parmi
lesquels on trouve : 
Â Â Â ldap.load qui contient LoadModule ldap_module
/usr/lib/apache2/modules/mod_ldap.so 
et authnz_ldap.load qui contient LoadModule authnz_ldap_module
/usr/lib/apache2/modules/mod_authnz_ldap.so 
Je pense que c'est suffisant pour pouvoir dire que les modules sont
chargÃ©s non ? Ou bien il y a un autre moyen de le vÃ©rifier (en
interrogeant le serveur en fonction par exemple ?) 
 
2/ J'ai oubliÃ© de le prÃ©ciser, mais oui, bien sÃ»r, mon s erveur LDAP
accepte les connections TLS 
Par exemple, quand je tape la commande : 
ldapsearch -x -ZZ
-H "cnmin,dc=xxx,dc=ups-tlse,dc=fr" -b
"ou=Users,ou=People,dc=xxx,dc=ups-tlse,dc=fr" -W 
<pre>Aux niveaux des logs, j'obtiens :
slapd[18327]: conn=0 fd ACCEPT from IP0.120.xxx.xxx:41224 (IP 0.120.xxx.xxx:389)
slapd[18327]: conn=0 op=0 EXT oid=1.3.6.1.4.1.1466.20037
slapd[18327]: conn=0 op=0 STARTTLS

slapd[18327]: conn=0 op=0 RESULT oid= err=0 text=
slapd[18327]: conn=0 fd TLS established tls_ssf8 ssf8
slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups -tlse,dc=fr" method8

slapd[18327]: conn=0 op=1 BIND dn="cnmin,dc=xxx,dc=ups -tlse,dc=fr" mech=SIMPLE ssf=0
slapd[18327]: conn=0 op=1 RESULT tag err=0 text=
slapd[18327]: conn=0 op=2 SRCH base="ou=Users,ou=People,dc =xxx,dc=ups-tlse,dc=fr" scope=2 deref=0 filter="(obje ctClass=*)"

slapd[18327]: conn=0 op=2 SEARCH RESULT tag1 err=0 nentries=3 1 text=
slapd[18327]: conn=0 op=3 UNBIND
slapd[18327]: conn=0 fd closed
</pre>
Au niveau du point 3/Â de ta rÃ©ponse, je ne suis pas sÃ»r d&# 39;avoir
compris la chose Ã essayer ; mais en lisant l'exemple que tu
retranscris et sur lequel je me suis aussi appuyÃ© pour Ã©tablir ma
config, je vois que tu mets en avant l'ajout de l'option TLS Ã la fin
de la ligne AuthLDAPURL. Si j'ai bien lu la doc, cette option ne sert
qu'Ã surcharger la directive LDAPTrustedMode que j'ai bien mis Ã TLS.
Ou alors, il y a quelque chose qui m'a Ã©chappÃ© :-(. Quoi qu&# 39;il en soit,
Ã§a ne marche pas, que je mettes TLS dans l'un ou l'autre, ni m Ãªme aux
deux endroits. 
 
Ce qui m'inquiÃ¨te le plus c'est qu'il m'affiche une in ternal server
error au lieu d'une authentification failed qui me paraÃ®traÃ®t de
meilleur aloi. 
 
En tout cas merci de te pencher sur mon problÃ¨me. Je suis Ã l&#39 ;Ã©coute de
toutes les idÃ©es qui pourraient me sortir de cette impasse. 
 
jMax 
 
 
<div>
<div> 
<div bgcolor="#ffffff" text="#000000"> 
1/ <code>A vÃ©rifier si les modules mod_ldap et mod_authnz_ldap sont
chargÃ©s dans apache. 
 
</code>2/ Petite question : ton serveur Ldap accepte-t-il les
connexions TLS ? 
 
3/ A essayer : 
D'aprÃ¨s la doc d'Apache :Â
 
********** 
The ability to create an SSL and TLS connections to an LDAP server is
defined by the directives LDAPTrustedGlobalCert LDAPTrustedClientCert LDAPTrustedMode optional client certificates to be used, as well as the type of
encryption to be used on the connection (none, SSL or TLS/STARTTLS).
<div>
that
 
# mod_ldap and mod_authnz_ldap be loaded. Change the 
# " 
LDAPTrustedGlobalCert CA_DER /certs/certfile.der 
 
<Location /ldap-status> 
 SetHandler ldap-status 
Order deny,allow 
Deny from all 
Allow from AuthLDAPURL ldaps:// AuthzLDAPAuthoritative off 
Require valid-user 
 </Location> </code>
</div>
<div>
that 
# mod_ldap and mod_authnz_ldap be loaded. Change the 
# " 
LDAPTrustedGlobalCert CA_DER /certs/certfile.der 
 
<Location /ldap-status> 
 SetHandler ldap-status 
Order deny,allow 
Deny from all 
Allow from AuthLDAPURL TLS 
AuthzLDAPAuthoritative off 
Require valid-user 
 </Location> </code>
</div>
*********** 
 
Jean-Max Redonnet a Ã©critÂ :
<div>
<div>
<blockquote type="cite">Bonjour, 
 
MalgrÃ© tous mes efforts, multiples et rÃ©pÃ©tÃ©s, je ne pa rviens
dÃ©finitivement pas Ã configurer l'authentification LDAP en TL S sur mon
serveur Apache2.2. 
 
VoilÃ ce que j'ai mis dans le /etc/apache2/ports.conf inclus dans
/etc/apache2/apache2.conf 
 
LDAPTrustedGlobalCert CA_BASE64 /etc/ssl/cacert.pem 
 
<VirtualHost 130.120.xxx.xxx:80> 
 
Â Â Â LDAPTrustedClientCert CERT_BASE64 /etc/ssl/certs/xxx.ups -tlse.fr.crt 
Â Â Â LDAPTrustedClientCert KEY_BASE64
/etc/ssl/private/xxx.ups-tlse.fr.key 
Â Â Â LDAPTrustedMode TLS 
 
Â Â Â <Location /ldap-status> 
Â Â Â Â Â Â Â SetHandler ldap-status 
Â Â Â Â Â Â Â order deny,allow 
Â Â Â Â Â Â Â allow from Â Â Â Â Â Â Â allow from Â Â Â Â Â Â Â AuthType basic 
Â Â Â Â Â Â Â AuthName "Auth LDAP"
Â Â Â Â Â Â Â AuthBasicProvider ldap 
Â Â Â Â Â Â Â AuthLDAPURL Â Â Â Â Â Â Â AuthzLDAPAuthoritative off 
Â Â Â Â Â Â Â require valid-user 
Â Â Â </Location> 
 
</VirtualHost> 
 
OpenLDAP est installÃ© et marche bien. Apache idem. 
Mes certificats sont bons (je les utilise par ailleurs avec succÃ¨s). 
 
Je ne vois pas d'oÃ¹ peut venir le problÃ¨me. Alors avant de sw itcher
vers le module d'authentification via PAM (qui comble de l'ironie
utilise LDAP avec bonheur), je m'en remet aux gens qui savent... 
 
Dans la doc d'Apache, j'ai trouvÃ© Ã§a : 
"The documentation for the SDK claims to support both SSL and STARTTLS ,
however STARTTLS does not seem to work on all versions of the SDK. The
SSL/TLS mode can be set using the LDAPTrustedMode parameter. If an
ldaps:// URL is specified, SSL mode is forced. The OpenLDAP
documentation notes that SSL (ldaps://) support has been deprecated to
be replaced with TLS, although the SSL functionality still works." 
Alors, je me dis que je suis peut-Ãªtre pas le seul Ã rencontrer d es
problÃ¨mes... 
 
Si vous avez des retours d'expÃ©rience ou des suggestions, je suis tout
ouÃ¯ 
 
Merci d'avance. 
 
jMax 
 
</blockquote>
 
</div>
</div>
</div>
</blockquote>
</div>
</div>
</div>
 
</div>
 
</blockquote>
 
</div></div></div>

</blockquote></div> 

--001636c5a3e91300e804684d1ad3--

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/fr/FrenchLists Vous pouvez aussi ajouter le mot
``spam'' dans vos champs "From" et "Reply-To:"

Pour vous DESABONNER, envoyez un message avec comme objet "unsubscribe"
vers
En cas de soucis, contactez EN ANGLAIS

-1 Répondre en citant

Publicité

Suivre les réponses

Poster une réponse