Ldap+sssd认证中TLS加密设置

安装CA证书

ldap服务器:作为CA请求与客户端 192.168.234.4 cs003
ldap客户端:作为CA中心 192.168.234.3 cs002
大体流程:
此处图的ldap客户端与服务器是TLS的客户端与服务器 (图错了。。但懒得改)

1.ldap server+TLS client

1. 生成02.key文件
   

2. 生成02.csr文件
   

2.ldap client+TLS server

2.1 搭建CA中心

cd /etc/pki/CA/
touch index.txt
echo 01 >serial
vim /etc/pki/tls/openssl.cnf

2.2 生成CA.crt

3.开始进行证书传递

CA向TLS客户端签证书
TLS客户端: scp ldapsrv02.csr root@192.168.234.3:/root
TLS服务端: openssl ca -in /root/ldapsrv02.csr -out /root/ldapsrv02.crt

CA中心向TLS发证书
TLS服务端:
scp /root/ldapsrv02.crt root@192.168.234.4:/root
scp CA.crt root@192.168.234.4:/etc/openldap/certs

TLS客户端安装证书:
mv ldapsrv02.crt /etc/openldap/certs/
mv ldapsrv02.key /etc/openldap/certs/
chown -R ldap:ldap /etc/openldap/certs/

开始配置TLS加密

1.配置LDAP服务端 TLS服务

1. vim ldap.conf
   

2. 删除之前的slapd.d 重新更改slapd.ldif文件
   

3. 重新生成slapd.d文件
   

4. 更改新生成的slapd.d文件权限
   chown -R ldap:ldap slapd.d

5. 启动
   systemctl restart slapd

6. 启动TLS服务
   

2.配置ldap客户端

yum install sssd*
cp /etc/pki/CA/private/CA.key /etc/openldap/certs/
cp CA.crt /etc/openldap/certs/

配置sssd.conf

配置ldap.conf

最后配置

添加用户后,加上如下条目 才能正常切换到用户内

成功后 :

添加用户后如果希望第一次登录自动创建家目录(Centos7.9的配置)

authconfig --enablemkhomedir --update
authconfig --test | grep mkhomedir #是否真正开启条目

成功后：

TLS加密目的与测试

TLS加密目的:服务器与客户端都可以看到数据,但要保证中间流通的数据包被加密

测试
客户端:执行ldapsearch -x -LLL
使用wireshark抓流量包看下图
客户端看到的

数据包看到的

注意设置TLS后 ldapsearch -x 无法再查到具体信息 只能ldapsearch -x -ZZ

问题注意:证书中的hostname 必须与 sssd.conf的baseuri形式一致 是IP地址都是IP地址 是主机名都是主机名 不然显示CN中的主机不一致

参考文献: https://blog.csdn.net/weixin_42167759/article/details/80509806

尽吾志也,而不能至者,可以无悔矣,其孰能讥之乎?此余之所得也！