安装CA证书
ldap服务器:作为CA请求与客户端 192.168.234.4 cs003
ldap客户端:作为CA中心 192.168.234.3 cs002
大体流程:
此处图的ldap客户端与服务器是TLS的客户端与服务器 (图错了。。但懒得改)
1.ldap server+TLS client
-
生成02.key文件
-
生成02.csr文件
2.ldap client+TLS server
2.1 搭建CA中心
cd /etc/pki/CA/
touch index.txt
echo 01 >serial
vim /etc/pki/tls/openssl.cnf
2.2 生成CA.crt
3.开始进行证书传递
CA向TLS客户端签证书
TLS客户端: scp ldapsrv02.csr root@192.168.234.3:/root
TLS服务端: openssl ca -in /root/ldapsrv02.csr -out /root/ldapsrv02.crt
CA中心向TLS发证书
TLS服务端:
scp /root/ldapsrv02.crt root@192.168.234.4:/root
scp CA.crt root@192.168.234.4:/etc/openldap/certs
TLS客户端安装证书:
mv ldapsrv02.crt /etc/openldap/certs/
mv ldapsrv02.key /etc/openldap/certs/
chown -R ldap:ldap /etc/openldap/certs/
开始配置TLS加密
1.配置LDAP服务端 TLS服务
-
vim ldap.conf
-
删除之前的slapd.d 重新更改slapd.ldif文件
-
重新生成slapd.d文件
-
更改新生成的slapd.d文件权限
chown -R ldap:ldap slapd.d -
启动
systemctl restart slapd -
启动TLS服务
2.配置ldap客户端
yum install sssd*
cp /etc/pki/CA/private/CA.key /etc/openldap/certs/
cp CA.crt /etc/openldap/certs/
配置sssd.conf
配置ldap.conf
最后配置
添加用户后,加上如下条目 才能正常切换到用户内
成功后 :
添加用户后如果希望第一次登录自动创建家目录(Centos7.9的配置)
authconfig --enablemkhomedir --update
authconfig --test | grep mkhomedir #是否真正开启条目
成功后:
TLS加密目的与测试
TLS加密目的:服务器与客户端都可以看到数据,但要保证中间流通的数据包被加密
测试
客户端:执行ldapsearch -x -LLL
使用wireshark抓流量包看下图
客户端看到的
数据包看到的
注意设置TLS后 ldapsearch -x 无法再查到具体信息 只能ldapsearch -x -ZZ
问题注意:证书中的hostname 必须与 sssd.conf的baseuri形式一致 是IP地址都是IP地址 是主机名都是主机名 不然显示CN中的主机不一致
参考文献: https://blog.csdn.net/weixin_42167759/article/details/80509806
尽吾志也,而不能至者,可以无悔矣,其孰能讥之乎?此余之所得也!