Будь проклят тот день, когда я сел за руль этого автомобиля. :)

Оглавление документа

Чего нужно

Генерация сертификатов

На сервере

Изменения в slapd.conf

На сервере. Изменения в ldap.conf из пакета openldap

Проверка работостособности

На клиенте

Генерация сертификатов для клиента

Изменения в ldap.conf из пакета nss_ldap

Изменения в ldap.conf тот что в /etc/openldap

Чего нужно

1. openssl-0.9.7d-alt1
2. openldap-servers-2.1.30-alt3
3. libldap-2.1.30-alt3
4. openldap-clients-2.1.30-alt3

ВАЖНО У меня есть машина sigma2 в домене mf.volsu.ru, так вот результат команды
nslookup sigma2.mf.volsu.ru

Должен быть таким
[root@sigma2 openldap]# nslookup sigma2.mf.volsu.ru Note: nslookup is deprecated and may be removed from future releases. Consider using the `dig' or `host' programs instead. Run nslookup with the `-sil[ent]' option to prevent this message from appearing. Server: 10.10.4.4 Address: 10.10.4.4#53 Name: sigma2.mf.volsu.ru Address: ip_адрес_вашей_машины

Генерация сертификатов

В /var/lib/ssl/misc лежит перловый скрипт CA.pl для генерации сертификатов, последовательность команд следующая
cd /etc/openldap/ /var/lib/ssl/misc/CA.pl -newca

Как это выглядит
CA certificate filename (or enter to create) <Жмем enter> Making CA certificate ... Generating a 1024 bit RSA private key ...........++++++ .....++++++ writing new private key to './demoCA/private/cakey.pem' Enter PEM pass phrase:<Вводим свой длинный пароль и главное потом не забываем :)> Verifying - Enter PEM pass phrase:<и еще раз его же> ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:ru State or Province Name (full name) [Some-State]:South Region Locality Name (eg, city) []:Volgograd Organization Name (eg, company) [Internet Widgits Pty Ltd]:Volgograd State University Organizational Unit Name (eg, section) []:Mathematics Department Common Name (eg, your name or your server's hostname) []:sigma2.mf.volsu.ru Email Address []:root@mf.volsu.ru
Важно Вверху делали nslookup sigma2.mf.volsu.ru, так вот в Common Name у вас должно стоять тоже самое и slapd должен висеть на том ip-адресе, который вам вернул nslookup.

Результат:
Получаем директорию demoCA в нем нам нужен будет файл cacert.pem

openssl req -new -nodes -keyout newreq.pem -out newreq.pem

Как это выглядит
[root@sigma2 openldap]# openssl req -new -nodes -keyout newreq.pem -out newreq.pem Generating a 1024 bit RSA private key ......................++++++ .............................++++++ writing new private key to 'newreq.pem' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]: State or Province Name (full name) [Some-State]: [root@sigma2 openldap]# openssl req -new -nodes -keyout newreq.pem -out newreq.pem Generating a 1024 bit RSA private key .................++++++ .....++++++ writing new private key to 'newreq.pem' ----- You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank. ----- Country Name (2 letter code) [AU]:ru State or Province Name (full name) [Some-State]:South Region Locality Name (eg, city) []:Volgograd Organization Name (eg, company) [Internet Widgits Pty Ltd]:Volgograd State University Organizational Unit Name (eg, section) []:Mathematics Department Common Name (eg, your name or your server's hostname) []:sigma2.mf.volsu.ru Email Address []:root@mf.volsu.ru Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []:<еще один пароль не равный тому что вы вводили до этого> An optional company name []:Mathematics Department

Важно Повторяется история с Common Name

Результат:
Получаем newreq.pem.

/var/lib/ssl/misc/CA.pl -sign

Как это выглядит
[root@sigma2 openldap]# /var/lib/ssl/misc/CA.pl -sign Using configuration from /var/lib/ssl/openssl.cnf 26354:error:0E06D06C:configuration file routines:NCONF_get_string:no value:conf_lib.c:329:group=CA_default name=unique_subject Enter pass phrase for ./demoCA/private/cakey.pem:<вводим наш первый пароль, самый длинный и секретный> Check that the request matches the signature Signature ok Certificate Details: Serial Number: 1 (0x1) Validity Not Before: Mar 15 12:33:44 2005 GMT Not After : Mar 15 12:33:44 2006 GMT Subject: countryName = ru stateOrProvinceName = South Region localityName = Volgograd organizationName = Volgograd State University organizationalUnitName = Mathematics Department commonName = sigma2.mf.volsu.ru emailAddress = root@mf.volsu.ru X509v3 extensions: X509v3 Basic Constraints: CA:FALSE Netscape Comment: OpenSSL Generated Certificate X509v3 Subject Key Identifier: <набор цифорок и буковок> X509v3 Authority Key Identifier: <и опять цифорки и буковки> DirName:/C=ru/ST=South Region/L=Volgograd/O=Volgograd State University/OU=Mathematics Department/CN=sigma2.mf.volsu.ru/emailAddress=root@mf.volsu.ru serial:00 Certificate is to be certified until Mar 15 12:33:44 2006 GMT (365 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated Signed certificate is in newcert.pem

Результат:
Подписываем newreq.pem, используя demoCA, и получаем newcert.pem

cp demoCA/cacert.pem ssl mv newreq.pem ssl/key.pem mv newcert.pem ssl/crt.pem
Можно еще и с правами помутить. Ну это на ваше усмотрение, но коли упрут сертификаты, будет плохо.

Прячем папку куда-нибудь, а точнее ключ demoCA/private/cakey.pem, он нам еще понадобится
chmod 000 demoCA

На сервере

Изменения в slapd.conf

= Надо добавить следующие строки
TLSCipherSuite HIGH:MEDIUM:+SSLv2 TLSCertificateFile /etc/openldap/ssl/crt.pem TLSCertificateKeyFile /etc/openldap/ssl/key.pem TLSCACertificateFile /etc/openldap/ssl/cacert.pem TLSVerifyClient demand

Будьте внимательны и не перепутайте, где чего надо прописать, а то при service slapd start, slapd просто не будет запускаться.

На сервере. Изменения в ldap.conf из пакета openldap

Надо внести следующую строчку в /etc/openldap/ldap.conf
TLS_CACERT /etc/openldap/ssl/cacert.pem

И изменить ldap на ldaps в URI.

Проверка работостособности

Выполняем.
[root@sigma2 openldap]# openssl s_client -connect sigma2.mf.volsu.ru:636 -showcerts -state -CAfile /etc/openldap/ssl/cacert.pem

Результат должен быть приблизительно следующим
SSL_connect:before/connect initialization SSL_connect:SSLv2/v3 write client hello A SSL_connect:SSLv3 read server hello A depth=0 /C=AU/ST=Some-State/O=Internet Widgits Pty Ltd/CN=sigma2.mf.volsu.ru verify error:num=20:unable to get local issuer certificate verify return:1 depth=0 /C=AU/ST=Some-State/O=Internet Widgits Pty Ltd/CN=sigma2.mf.volsu.ru verify error:num=21:unable to verify the first certificate verify return:1 SSL_connect:SSLv3 read server certificate A SSL_connect:SSLv3 read server done A SSL_connect:SSLv3 write client key exchange A SSL_connect:SSLv3 write change cipher spec A SSL_connect:SSLv3 write finished A SSL_connect:SSLv3 flush data SSL_connect:SSLv3 read finished A --- Certificate chain <кусь> -----BEGIN CERTIFICATE----- <кусь> -----END CERTIFICATE----- --- Server certificate <и тута типа кусь> --- No client certificate CA names sent --- SSL handshake has read 971 bytes and written 346 bytes --- New, TLSv1/SSLv3, Cipher is AES256-SHA Server public key is 1024 bit SSL-Session: Protocol : TLSv1 Cipher : AES256-SHA Session-ID: 8CB1768A5F90E71FDA7D0CBF47003E36AE9E12643BC35378132DDB111EC1C852 Session-ID-ctx: Master-Key: 996B7555686CDA1142B83CA67BE43C46F6EDCC6567713C00E42F4ECAAD1BAC7EABDE4BB0E7D04C5C72165AB253658498 Key-Arg : None Start Time: 1110890913 Timeout : 300 (sec) Verify return code: 21 (unable to verify the first certificate) ---

На клиенте

Генерация сертификатов для клиента

Сертификаты генерируются на сервере. Процесс схож с тем, что мы уже проделывали, но есть мелкие отличия. :)
openssl req -new -nodes -keyout newreqclient.pem -out newreqclient.pem
Хотелось бы заметить, что в графе “Common Name” должен стоять FQDN (полное доменное имя) клиента, типа (admin.mf.volsu.ru).

/var/lib/ssl/misc/CA.pl -sign

Теперь берем newreqclient.pem newcertclient.pem cacert.pem и переносим изх на клиент.
Создаем на клиенте /etc/openldap/certs
И
mv cacert.pem /etc/openldap/certs mv newreqclient.pem /etc/openldap/certs/key.pem mv newcertclient.pem /etc/openldap/certs/crt.pem chown -R ldap:ldap /etc/openldap/certs chmod 755 /etc/openldap/certs chmod 444 /etc/openldap/certs/*

Изменения в ldap.conf из пакета nss_ldap

В ldap.conf из nss_ldap лежащем в /etc
base dc=mf,dc=volsu,dc=ru uri ldaps://sigma2.mf.volsu.ru/ ssl on tls_cacertfile /etc/openldap/certs/cacert.pem tls_cert /etc/openldap/certs/crt.pem tls_key /etc/openldap/certs/key.pem

Изменения в ldap.conf тот что в /etc/openldap

BASE dc=mf, dc=volsu, dc=ru URI ldaps://sigma2.mf.volsu.ru TLS_CACERT /etc/openldap/certs/cacert.pem TLS_REQCERT demand
Вроде все работает. :)