ssl - 如何禁用 OpenLDAP 的 SSL V3/TLS 1.0 或如何禁用 ldap 端口 636 上的 TLS 1.0 支持？

Question

根据本文尝试以下操作，https://access.redhat.com/articles/1474813

放置 tls.ldif 配置文件，其中包含以下配置说明:

dn: cn=config
changetype: modify
replace: olcTLSProtocolMin
olcTLSProtocolMin: 3.2

TLS 1.0 仍然显示为端口 636 启用。我需要启用对 tls 1.1 及更高版本的支持。上面的 url 为 RHEL 7 提供了解决方案，但我使用的是 RHEL 6，也许这就是这个解决方案对我不起作用的原因。

Answer 1

此答案适用于 Red Hat Identity Manager(也可能适用于 FreeIPA)。

要为 Directory Server 组件设置最低版本的 TLS，请执行以下操作:

停止 dirsrv 服务:systemctl stop dirsrv@YOUR-DOMAIN.service

确保: sslVersionMin: TLS1.2在文件 /etc/dirsrv/slapd-YOURDOMAIN-COM/dse.ldif 中设置

再次启动 dirsrv 服务:systemctl start dirsrv@YOURDOMAIN-COM.service

要检查提供的 TLS 版本，您可以使用 nmap 的 ssl-enum-ciphers 脚本，如下所示:

nmap --script ssl-enum-ciphers -p636 localhost

输出应该只显示高于您在 dse.ldif 文件中指定的 TLS 版本:

$ nmap --script ssl-enum-ciphers -p636 localhost
Starting Nmap 6.40 ( http://nmap.org ) at 2020-05-13 12:03 CEST
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000070s latency).
Other addresses for localhost (not scanned): 127.0.0.1
PORT    STATE SERVICE
636/tcp open  ldapssl
| ssl-enum-ciphers:
|   TLSv1.2:
|     ciphers:
|       TLS_DHE_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 - strong
|       TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 - strong
|       TLS_DHE_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 - strong
|       TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 - strong
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 - strong
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 - strong
|       TLS_RSA_WITH_AES_128_CBC_SHA - strong
|       TLS_RSA_WITH_AES_128_CBC_SHA256 - strong
|       TLS_RSA_WITH_AES_128_GCM_SHA256 - strong
|       TLS_RSA_WITH_AES_256_CBC_SHA - strong
|       TLS_RSA_WITH_AES_256_CBC_SHA256 - strong
|       TLS_RSA_WITH_AES_256_GCM_SHA384 - strong
|     compressors:
|       NULL
|_  least strength: strong

Nmap done: 1 IP address (1 host up) scanned in 0.09 seconds

请记住，需要在运行 dirsrv 服务的所有服务器上进行此更改。