ssl - openldap:TLS:错误:tlsm_PR_Recv 返回 0 - 错误 22:参数无效

Question

我们遇到了 openldap 问题。好像 2 天前证书过期了。于是又产生了新的。它们看起来不错。

当我执行 ldapsearch 时，我得到以下信息:

[root@xxx certs]# ldapsearch -H ldaps://xxx -D "cn=xxx,dc=xxx,dc=xxx" -W -b "ou=people,dc=xxx,dc=xxx" -d255 -v -x
ldap_url_parse_ext(ldaps://xxx)
ldap_initialize( ldaps://xxx:636/??base )
ldap_create
ldap_url_parse_ext(ldaps://xxx:636/??base)
Enter LDAP Password:
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP xxx:636
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying xxx:636
ldap_pvt_connect: fd: 3 tm: -1 async: 0
attempting to connect:
connect success
TLS: loaded CA certificate file /etc/pki/tls/certs/xxx.pem.
tls_write: want=157, written=157
  0000:  16 03 01 00 98 01 00 00  94 03 01 fd bf cb 8f 48   ...............H
  0010:  0b ef 1e c6 6e f3 b6 50  87 74 9e 2e 21 74 2d b6   ....n..P.t..!t-.
  0020:  a2 e9 49 90 72 56 1a a8  58 54 24 00 00 54 c0 0a   ..I.rV..XT$..T..
  0030:  c0 09 c0 13 c0 14 c0 08  c0 12 c0 07 c0 11 00 33   ...............3
  0040:  00 32 00 45 00 44 00 39  00 38 00 88 00 87 00 16   .2.E.D.9.8......
  0050:  00 13 00 66 c0 04 c0 0e  c0 05 c0 0f c0 03 c0 0d   ...f............
  0060:  c0 02 c0 0c 00 2f 00 41  00 35 00 84 00 96 00 0a   ...../.A.5......
  0070:  00 05 00 04 00 15 00 12  00 09 00 64 00 62 00 03   ...........d.b..
  0080:  00 06 01 00 00 17 ff 01  00 01 00 00 0a 00 08 00   ................
  0090:  06 00 17 00 18 00 19 00  0b 00 02 01 00            .............
tls_read: want=5, got=0

TLS: error: tlsm_PR_Recv returned 0 - error 22:Invalid argument
TLS: error: connect - force handshake failure: errno 22 - moznss error -5938
TLS: can't connect: TLS error -5938:Encountered end of file.
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)

我相信配置是正确的。 cacert pem 文件保持不变，cert 和 key pem 文件已添加到同一目录中，slapd.conf 和 ldap.conf 已更新为指向这些文件。

不确定使用 openssl s_client -connect 是否应该打开 SSL 连接。似乎根本没有返回任何 SSL 证书。我还尝试将配置更改回原始配置(因此使用了旧证书)但显示了相同的行为(这些已过期，因此在这种情况下可能会解释)。根据我在文档中看到的内容，需要有效的服务器证书。

请注意，这是同步 ldap 设置。

调试已达到最大程度，唯一似乎相关的是 connection_read(13): TLS 接受失败错误=-1 id=1055，正在关闭 ... conn=1055 fd=13 closed(TLS协商失败)

提前感谢您对此提供的任何帮助!

Answer 1

所以在花了太多时间尝试之后，然后发布然后思考:可能还有其他地方配置了这个证书。

我进入了 /etc/openldap 并寻找 pem 的出现。 slap.d 中也有匹配项(我以前从未使用过 ldap，所以我认为这是您可以在 1 个配置中配置的东西，而不是 5 个具有相同值的不同位置)。编辑所有事件并重新启动 slapd 服务...现在可以工作(在缓存过期后)。

这是我见过的最糟糕的错误消息之一。在调试处于最大状态时，日志中也没有具体说明这一点。

希望对其他人有帮助!