php - 用于保护 LDAP 服务器的 ldap_bind 返回 "Unknown CA"

Question

尝试配置 PHP 应用程序以针对远程 LDAP 服务器进行安全身份验证，但遇到了障碍。 ldap 工具已安装，我可以连接到远程 LDAP 服务器，但检查错误日志时，我看到了

Unable to bind to server: Can't contact LDAP server

这是通过在我的应用程序中调用 ldap_bind 触发的。 ldap_connect 不返回错误。我已经验证我可以使用以下方法连接到 ldap 服务器:

openssl s_client -connect ldap.service.company.com:636

SSL-Session:
Protocol  : TLSv1.2
Cipher    : AES256-SHA
Session-ID: (snip)
Session-ID-ctx: 
Master-Key: (snip)
Key-Arg   : None
Krb5 Principal: None
PSK identity: None
PSK identity hint: None
Start Time: 1389213908
Timeout   : 300 (sec)
Verify return code: 0 (ok)

tcpdump 和 wireshark 用于监视和分析我的应用程序尝试进​​行 LDAP 身份验证时的网络流量。

tcpdump -s 1514 port 636 -w capture_file

wireshark 显示了一个 fatal error :

TLSv1   Alert (Level: Fatal, Description: Unknown CA)

Apache 的 ssl.conf 配置指向具有正确权限的文件，并且在启动/重新启动 httpd 时不会显示任何错误。

感谢帮助/指点。如果我可以提供更多数据，请告诉我。

Answer 1

您可能在 636 端口上的 ldap 主机上使用了签名证书。客户端(您的 PHP 服务器)拒绝此证书作为不在其已知/有效 ca 中的证书颁发机构。获取真正的 SSL 证书或在您的网络服务器上安装证书路径。

如果且仅当您的网络服务器和 ldap 主机在同一网络中并且由您单独管理并且您确定主机之间无法捕获数据时，您可以选择不使用 SSL/TLS 版本的ldap协议(protocol)..