DELL EMC Unity：如何检查 LDAP 和 LDAPS 连接状态

• Ldapsearch 测试 LDAP/LDAPs 连接

 LDAP 没有传输层安全性 （TLS） 连接，因此无需上传 LDAPS 证书。
对于 LDAPS，在设置 LDAPS 时，必须将 ldaps 证书上传到 Unity。
要运行该命令，您必须具有 root 访问权限。

LDAP 测试命令的示例：
   ldapsearch -x -d 1 -v -H ldap：//ldapserver_name_or_IP：389 -b “CN=Users，dc=peeps，dc=lab” -D “CN=Administrator，CN=Users，DC=peeps，DC=lab” -w Password

LDAPS 测试命令的示例：
 env LDAPTLS_CACERT=/EMC/backend/CEM/LDAPCer/serverCertificate.cer ldapsearch -x -d 1 -v -H ldaps：//ldapserver_name_or_IP：636 -b “CN=Users，dc=peeps，dc=lab” -D “CN=Administrator，CN=Users，DC=peeps，DC=lab” -w Password

Note：“LDAPTLS_CACERT”表示 Unity 查找服务器证书的位置。LDAP 可以使用端口 389,3268;LDAPS 可以使用 636,3269;如果您需要客户输入密码，请使用 -W 而不是“-w 密码”。
 

• 连接过程

第 1# 步 通过查询 DNS 服务器或本地文件 /etc/hosts 将 ldapserver 名称解析为 IP 地址;您可以指定 IP 地址以绕过此步骤。
步骤 2# 在 Unity 和 LDAP 服务器之间建立 TCP 连接。
步骤 3# TLS 在 /EMC/backend/CEM/LDAPCer/serverCertificate.cer
中检查 Unity 端是否有上传的证书 步骤 4# TLS 握手，客户端向服务器
发送客户端你好消息 步骤 5# TLS 握手，服务器通过向客户端
发送服务器你好消息进行响应 步骤 6# TLS 服务器将其证书发送给客户端进行身份验证，客户端使用 /EMC/backend/CEM/LDAPCer/serverCertificate.cer
进行检查 步骤 7# LDAP 服务器检查 绑定客户端

提供的用户和密码 注意：LDAP 连接没有 TLS 连接。
 

• 成功连接示例

 ldap_url_parse_ext（ldaps://123.abc.cde.com:3269）
ldap_create
ldap_url_parse_ext（ldaps：//123.abc.cde.com：：3269/？？base）
输入 LDAP 密码：
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host：TCP 123.abc.cde.com：：3269
ldap_new_socket：
3 ldap_prepare_socket：
3 ldap_connect_to_host：尝试 123.123.123.123：3269 <<<<<< 主机名重置为 IP 地址
ldap_pvt_connect： fd：3 tm：-1 async：
0 trying to connect：
connect success<<<<<<<< TCP session is established.
TLS 跟踪：SSL_connect：此处检查之前/连接初始化<<<<<上传的证书，如果证书存在则没有错误。
TLS 跟踪：SSL_connect：SSLv2/v3 写入客户端你好
TLS 跟踪：SSL_connect：SSLv3 读取服务器你好
TLS 证书验证：深度：2，错误：0， subject：/xxxxxxxxxxxxxxxxxxxxxxxxxx
TLS certificate verification： depth：1，错误：0， subject：/C=xx/O=xxx /CN=xxxxx， issuer：/C=xx/O=xxx./CN=xxxx
TLS certificate verification： depth：0， err：0， subject：/CN=xxxxxx issuer：/C=US/O=xxx./CN=xxxxxx
TLS trace：SSL_connect：SSLv3 read server certificate A <<<<<<verify server certificates
TLS trace：SSL_connect：SSLv3 读取服务器密钥交换
TLS 跟踪：SSL_connect：SSLv3 读取服务器证书请求
TLS 跟踪：SSL_connect：SSLv3 读取服务器完成
TLS 跟踪：SSL_connect：SSLv3 写入客户端证书
TLS 跟踪：SSL_connect：SSLv3 写入客户端密钥交换 TLS
跟踪：SSL_connect：SSLv3 写入更改密码规范
TLS 跟踪：SSL_connect：SSLv3 写入完成
TLS 跟踪：SSL_connect：SSLv3 刷新数据
TLS 跟踪：SSL_connect：SSLv3 读取完成 ldap_open_defconn
：成功<<<<<，与 LDAPS 服务器建立连接。

ldap_send_server_request ber_scanf fmt （{it） ber：
ber_scanf fmt （{i） ber：
ber_flush2：90 字节到 sd 3
ldap_result ld 0x7fd64f5a5750 msgid 1
.....................

# filter：（objectclass=*）
# requesting：
全部#
res_errno：0， res_error：<>、res_matched：<>                   <<<<< a 绑定搜索或用户搜索成功。
ldap_free_request（origid 2、msgid 2）

• 错误消息和解决方案

1 connection error “name is not found”：
“dap_connect_to_host： getaddrinfo failed：名称或服务未知“
请检查 DNS 服务器、防火墙、DNS 负载平衡器

2 连接错误”TCP 会话错误“：”
连接错误“
请检查 LDAP 服务器端口和 IP 连接;”防火墙

3 连接 TLS 错误“找不到证书”：“
TLS：无法加载验证位置......”
请检查 LDAPS 服务器证书是否上传

4 连接 TLS 错误“客户端你好错误”：
“TLS trace：SSL_connect：SSLv2/v3 写入客户端你好出错“
请检查服务器是否支持 TLS;检查防火墙

5 连接 TLS 错误”server 你好 error“
”TLS trace：SSL_connect：SSLv2/v3 读取服务器你好
“请检查服务器是否支持 TLS;检查防火墙

6 连接 TLS 错误”证书验证错误“：”
TLS 证书验证：错误“
请再次检查 LDAPS 服务器证书并上传到 Unity。

7 connection error “bind user/password error”：
“ldap_bind：凭据无效“
请检查用户名和密码，尝试使用同一帐户登录客户桌面客户端。
 

• 通过捕获 tcpdump 进行故障处理

  对于步骤 1~6 故障，如果您找不到明显的问题，请在运行 ldapsearch 命令时捕获 tcpdump，并让 GNS 团队参与进来调查连接问题。