DELL EMC Unity: Cómo comprobar LDAP y el estado de conexión de LDAPS

• Ldapsearch para probar la conexión de LDAP/LDAP

 LDAP no tiene ninguna conexión de seguridad de capa de transporte (TLS), por lo que no es necesario cargar certificados de LDAPS.
 Para LDAPS, se debe cargar un certificado de LDAPS en Unity durante la configuración de LDAPS.
Para ejecutar el comando, debe tener acceso raíz.

 El ejemplo para el comando de prueba de LDAP:
   ldapsearch -x -d 1 -v -H ldap://ldapserver_name_or_IP:389 -b "CN=Users,dc=peeps,dc=lab" -D "CN=Administrator,CN=Users,DC=peeps,DC=lab" -w Contraseña

El ejemplo para el comando de prueba de LDAPS:
 env LDAPTLS_CACERT=/EMC/backend/CEM/LDAPCer/serverCertificate.cer ldapsearch -x -d 1 -v -H ldaps://ldapserver_name_or_IP:636 -b "CN=Users,dc=peeps,dc=lab" -D "CN=Administrator,CN=Users,DC=peeps,DC=lab" -w Contraseña

Nota: "LDAPTLS_CACERT" indica dónde Unity debe encontrar el certificado del servidor. LDAP puede utilizar los puertos 389,3268; LDAPS puede usar 636,3269; Si necesita que el cliente ingrese la contraseña, utilice -W en lugar de "-w Password".
 

• Proceso de conexión

PASO 1 # Resuelva el nombre del servidor ldap a la dirección IP consultando el servidor DNS o el archivo local /etc/hosts; Puede especificar la dirección IP para omitir este paso.
PASO 2# Establecer la conexión TCP entre los servidores Unity y LDAP.
PASO 3 # TLS Verifique el lado de Unity para el certificado cargado en /EMC/backend/CEM/LDAPCer/serverCertificate.cer
PASO 4 # Protocolo de enlace TLS, el cliente envía un mensaje de saludo del cliente al servidor
PASO 5 # Protocolo de enlace TLS, el servidor responde enviando un mensaje de saludo al servidor al cliente
PASO 6 # TLS El servidor envía su certificado al cliente para su autenticación, el cliente lo comprueba con /EMC/backend/CEM/LDAPCer/serverCertificate.cer
PASO 7# Comprobaciones del servidor LDAP Vincular el usuario y la contraseña proporcionados por el cliente

Nota: La conexión LDAP no tiene conexión TLS.
 

• Ejemplo de conexión correcta

 ldap_url_parse_ext(ldaps://123.abc.cde.com:3269)
ldap_create
ldap_url_parse_ext(ldaps://123.abc.cde.com::3269/?? base)
Ingrese la contraseña de LDAP:
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP 123.abc.cde.com::3269
ldap_new_socket:
3 ldap_prepare_socket:
3 ldap_connect_to_host: Intentando 123.123.123.123:3269 <<<<<< el nombre de host se restableció a la dirección
IP ldap_pvt_connect: fd: 3 tm: -1 asíncrono:
0 Intentando conectarse:
conexión correcta <<<<<<<<Se estableció una sesión TCP. 
Seguimiento de TLS: SSL_connect: El certificado cargado antes de la inicialización de <<<<< conexión está marcado aquí, no hay error si existe un certificado.
Seguimiento de TLS: SSL_connect: SSLv2/v3 write client hello A
TLS trace: SSL_connect: SSLv3 lee el servidor hola Verificación
del certificado TLS: profundidad: 2, err: 0, asunto: /xxxxxxxxxxxxxxxxxxxxxx Verificación
del certificado TLS: profundidad: 1, errar: 0, asunto: /C=xx/O=xxx /CN=xxxxx, emisor: /C=xx/O=xxx./CN=xxxx
Verificación del certificado TLS: profundidad: 0, err: 0, asunto: /CN=xxxxxx emisor: /C=US/O=xxx./CN=xxxxxx
Seguimiento de TLS: SSL_connect: SSLv3 lee el certificado del servidor A <<<<<<para verificar el seguimiento TLS de los certificados del
servidor: SSL_connect: intercambio de claves del servidor de lectura SSLv3 A
seguimiento de TLS: SSL_connect: SSLv3 solicitud de certificado del servidor de lectura Un
seguimiento de TLS: SSL_connect: servidor de lectura SSLv3 listo Un
seguimiento de TLS: SSL_connect: certificado de cliente de escritura SSLv3 Un
seguimiento de TLS: SSL_connect: intercambio de claves de cliente de escritura SSLv3 Un
seguimiento de TLS: SSL_connect: SSLv3 escribe cambiar la especificación de cifrado A
seguimiento de TLS: SSL_connect: escritura de SSLv3 finalizada Un
seguimiento de TLS: SSL_connect: Seguimiento TLS de datos de borrado
SSLv3: SSL_connect: Lectura de SSLv3 finalizada Un
ldap_open_defconn:<<<<< se estableció correctamente una conexión con el servidor LDAPS.

ldap_send_server_request ber_scanf fmt ({it) ber:
ber_scanf fmt ({i) ber:
ber_flush2: 90 bytes a SD 3
ldap_result LD 0x7fd64f5a5750 MSGID 1
.....................

# filtro: (clase de objeto=*)
# solicitando: TODOS#

res_errno: 0, res_error: <>, res_matched: <>                   <<<<< una búsqueda de enlace o búsqueda de usuario se realiza correctamente. 
ldap_free_request (orígido 2, msgid 2)

• Mensaje de error y solución

1 error de conexión "name is not found":
"dap_connect_to_host: getaddrinfo failed: No se conoce el nombre o el servicio"
Compruebe el servidor DNS, el firewall, el balanceador

de carga DNS 2 Error de conexión "TCP session error":
"connect errno"
Compruebe el puerto del servidor LDAP y la conectividad IP; error de TLS de conexión del firewall

3 "no se puede encontrar el certificado":
"TLS: no se pudo cargar la verificación de ubicaciones..."
Compruebe que el certificado del servidor LDAPS esté cargado o no

4 error de conexión TLS "client hello error":
"Seguimiento de TLS: SSL_connect: error en el cliente de escritura SSLv2/v3 "
Compruebe el soporte del servidor TLS o no; compruebe la conexión del firewall

5 Error de TLS "server hello error"
"Seguimiento de TLS: SSL_connect: error en el servidor de lectura SSLv2 / v3 hola "
Verifique si el servidor es compatible con TLS o no; verifique la conexión del firewall

6 Error de TLS "error de verificación del certificado":
"Verificación del certificado TLS: Error "
Compruebe el certificado del servidor LDAPS y vuelva a cargarlo en Unity. 

7 Error de conexión "Error de vinculación de usuario/contraseña":
"ldap_bind: Credenciales no válidas"
Compruebe el nombre de usuario y la contraseña, intente con la misma cuenta para iniciar sesión en un cliente de escritorio del cliente.
 

• Solución de problemas mediante la captura de tcpdump

  Para la falla del paso 1 ~ 6, si no puede encontrar un problema obvio, capture un tcpdump mientras ejecuta el comando ldapsearch, involucre al equipo de GNS para investigar el problema de conexión.