ssl - LDAP 的 Haproxy ssl 终止

Question

我想问你任何一种说明 LDAP 和 Haproxy 的 SSL 终止的示例(前端为 636，后端为 389)。

配置应该类似于haproxy:

-监听636端口的haproxy前端

-从前端接收解密流量的haproxy后端

网上有389->389和636->636的例子:

https://support.snapt.net/hc/en-us/community/posts/360004377189-Configuring-LDAP-haproxy-cfg

但是我找不到任何说明如何配置的示例使用 Haproxy 的 LDAP 636->389 ssl 终止

您可以在下面找到一个在我的环境中不起作用的示例:

frontend ldap-636
bind 172.16.94.12:636 ssl crt /vagrant/cert_haproxy.pem no-sslv3 no-tlsv10 ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS
mode tcp
option socket-stats
option tcplog
option tcpka
default_backend ldap-389-origin

backend ldap-389-origin
server freeipa.yeskela.tk 172.16.94.11:389 check fall 3 rise 5 inter 5000
mode tcp
balance leastconn
stick-table type ip size 200k expire 30m
timeout server 12s
timeout client 10s
timeout connect 10s
option tcpka
option tcp-check
tcp-check connect port 389
tcp-check send-binary 300c0201 # LDAP bind request "<ROOT>" simple
tcp-check send-binary 01 # message ID
tcp-check send-binary 6007 # protocol Op
tcp-check send-binary 0201 # bind request
tcp-check send-binary 03 # LDAP v3
tcp-check send-binary 04008000 # name, simple authentication
tcp-check expect binary 0a0100 # bind response + result code: success
tcp-check send-binary 30050201034200 # unbind request

具有实现前端-后端 389-389 配置的 Haproxy工作正常，但是，一旦我应用上面的代码段，ldapsearch 请求就会返回一个错误:

ldapsearch -h lb.yeskela.tk -p 636 -x -D "uid=admin,ou=people,o=ipaca" -W -b "" -s base
Enter LDAP Password: 
ldap_result: Can't contact LDAP server (-1)

谢谢。

Answer 1

您使用的模式是 simple TCP pass-through -- 由于 TCP 模式与 HTTP 模式不同，它不是协议(protocol)感知型的，所以我认为不可能按照您的意愿执行 SSL 卸载。