У меня есть мастер openldap и 2 подчиненных сервера openldap. Использование СА без собственной подписи.
master openldap: назовите debian на основе stretch
slapd 2.4.44 + dfsg-5 + d amd64
openssl 1.1.0f-3 + deb9u1 amd64
slave openldap: имя debian1 на основе stretch
slapd 2.4.44 + dfsg-5 + d amd64
openssl 1.1.0f-3 + deb9u1 amd64
master openldap: имя ldap на основе o oracle linux 7.4
slapd 2.4.44-5.el7.x86_64
openssl-1.0.2k-8.0.1.el7.x86_64
клиент openldap на основе oracle linux не может подключиться к главному серверу ldap на основе debian strech.
Что я сделал на подчиненном debian и подчиненном oracle linux:
root@debian1:~# openssl verify -CAfile /etc/ssl/contatogs.com.br/cacert.pem /etc/ssl/contatogs.com.br/newcerts/cn\=debian1\,ou\=computers\,dc\=contatogs\,dc\=com\,dc\=br.crt.pem
/etc/ssl/contatogs.com.br/newcerts/cn=debian1,ou=computers,dc=contatogs,dc=com,dc=br.crt.pem: **OK**
[root@ldap ~]# openssl verify -CAfile /etc/openldap/cacerts/cacert.pem /etc/openldap/certs/cn\=ldap\,ou\=>
/etc/openldap/certs/cn=ldap,ou=computers,dc=contatogs,dc=com,dc=br.crt.pem: **OK**
пока все хорошо 80)
Теперь, возможно, проблема на подчиненном сервере debian1:
root@debian1:~# openssl s_client -connect debian.contatogs.com.br:389 -CAfile /etc/ssl/contatogs.com.br/cac
ert.pem -state
CONNECTED(00000003)
SSL_connect:before SSL initialization
SSL_connect:SSLv3/TLS write client hello
**SSL_connect:error in SSLv3/TLS write client hello**
write:errno=0
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 176 bytes
Verification: OK
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1519415735
Timeout : 7200 (sec)
Verify return code: 0 (ok)
Extended master secret: no
Но главный / подчиненный сервер с только debian / debian работает, несмотря на эту ошибку / предупреждение.
Теперь oracle linux не работает вообще .. ....
[root@ldap ~]#
<contatogs.com.br:389 -CAfile /etc/openldap/cacerts/cacert.pem -state
CONNECTED(00000003)
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
139967037114272:error:140790E5:SSL routines:ssl23_write:ssl handshake failure:s23_lib.c:177:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 0 bytes and written 289 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : 0000
Session-ID:
Session-ID-ctx:
Master-Key:
Key-Arg : None
PSK identity: None
PSK identity hint: None
Start Time: 1519415876
Timeout : 300 (sec)
Verify return code: 0 (ok)
Я почти уверен, что проблема в CA, но я не знаю, как исправить ... 80)
Любая помощь будет очень признательна.
Привет для будущих поисков. Я нашел правильный способ избавиться от этой ошибки. Когда я создаю сертификат для ведомого устройства, я создал его с помощью клиентской части (веб-клиент TLS), и правильным для этого является создание сертификата как сервера (веб-сервер TLS). Обнаружить эту ошибку мне помог еще один пост на serverfault с этой командой: openssl verify -purpose sslserver -CAfile cacert.pem ldaprov1.crt