ADV190023 Hoe sssd laten connecteren via LDAP over poort 636

[ieperlingetje]

In maart scherpt Microsoft de beveiliging voor LDAP toegang aan (https://support.microsoft...g-requirement-for-windows), waardoor vanaf dan alle verbindingen via poort 389 geblokkeerd zullen worden. Ik heb ondertussen al LDAPS actief gezet op de DC, en alle applicaties die hiervan gebruik maken enkel laten connecteren op die manier (door het CA certificaat van de domein controller op de servers als vertrouwd te markeren.) Tot nu toe geen probleem. Het enigste waar ik niet aan uit geraak is hoe ik sssd correct laat werken. Ik maak gebruik van de ad plugin voor sssd (gebaseerd op de manual die te vinden is in de documentatie van de ubuntu site: https://help.ubuntu.com/lts/serverguide/sssd-ad.html), maar zover ik kan zien kan ik geen gebruik maken van ldaps? Ik heb al geprobeerd via de setting 'ldap_uri =ldaps://example.com:636' de poort 636 mee te geven (https://forums.centos.org/viewtopic.php?t=51081), maar tot nu toe geen succes. Op internet vind ik vrij weinig info over hoe ik het correct kan implementeren. Meeste reacties in topics over dit onderwerp zijn van voor de advisory en die gaan niet verder dan 'maar kerberos is al versleuteld, doe geen moeite' . Iemand die mij kan verder helpen?
..

[Hero of Time]

Interessant om te weten, ik was hier niet van op de hoogte. Ik heb op werk twee Linux systemen die aan AD hangen en de rest van m'n omgeving is Windows waar mogelijk ook nog wat gedaan moet worden voor die encryptie zaken. Moet ik verder uit gaan zoeken hoe dat zit en werkt, voordat er problemen zijn.

Ik zie overigens geen melding dat poort 389 geblokkeerd gaat worden. Alleen dat simpel binds en clear text connecties worden geweigerd. Als je starttls zou gebruiken op poort 389 is er als 't goed is niets aan de hand.

[Cyberonline]

voor ldap client configuratie op Centos/RHEL:

Installatie pakket
yum -y groupinstall "Directory Client"
Configureren
1. Start de utility:

root@local # authconfig-tui
2. Selecteer de volgende onderdelen:

Use LDAP
Use Shadow Passwords
Use LDAP Authentication
Local Authentication is sufficient
3. Klik op NEXT

4. In het volgende scherm, word er gevraagt of je TLS gebruikt. Vink dit aan en vul de volgende gegevens in

Server: labipa.example.com
BaseDN: dc=example, dc=com
Klik vervolgens op OK.

Vervolgens word er gevraagt om een SSL cert.

5. Kopieer het certificaat in pem formaat in de /etc/openldap/cacerts directory:

dit kan met SCP, WGET etc

6. Bewerk vervolgens het sssd.conf file

Let op! dit word gebruikt als de LDAP server een Self-signed Certificaat gebruikt.

vi /etc/sssd/sssd.conf
onder [domain/default], voeg onderstaande regel toe:

ldap_tls_reqcert = never
Bovenstaande regel houd in dat de client de certificaat van de LDAP server blind vertrouwd

7. Herstart de daemon

root@local # systemctl restart sssd
8. Controleer de users

root@local # getent passwd <ldapusername>

[Hero of Time]

Ik heb deze week wat tijd genomen om wat informatie uit onze servers te halen omtrent deze binds en kwam er achter dat de ene Linux PC die in ons domein hangt, niet naar voren kwam als client die mogelijk een issue kon zijn. Ik ben dan ook benieuwd of bovenstaande echt nodig is.

Nou ben ik bezig met een tweede domein om naartoe te verhuizen en daar heb ik ook al een Linux client in hangen. Zodra ik wat andere zaken heb aangepast, kan ik kijken wat die doet zodra encryptie wordt vereist zoals de Windows Update dat zou forceren.

[Hero of Time]

Goed, vandaag wilde ik nog wat anders testen met de Linux laptop op 't nieuwe domein. Ook gekeken of er simple of unsigned binds gedaan worden hierdoor. En idd, dat was het geval. Bummer.