从 openLDAP 客户端到 IBM LDAP 的 ssl 连接答案

【问题标题】：ssl connection from an openLDAP client to an IBM LDAP从 openLDAP 客户端到 IBM LDAP 的 ssl 连接
【发布时间】：2013-06-04 12:07:07
【问题描述】：

我在使用 openLDAP 客户端将安全 (SSL) 连接到 IBM LDAP 服务器时遇到问题。

如下所示的不使用 SSL 的连接可以正常工作：

ldapsearch -h <LDAP server host name> -D <bind dn> -w ? -b <base dn> <filter>

但是当我添加 -Z 选项以使用安全 LDAP 连接 (SSL) 时，如下 ldapsearch 所示，出现错误：

ldapsearch -h <LDAP server host name> -Z -D <bind dn> -w ? -b <base dn> <filter>

错误提示：

ldap_simple_bind: Can't contact LDAP server
Attempted communication over SSL.
  The extended error is 116.

在这里我发现我必须将 ssl start_tls 添加到客户端配置文件（ldap.conf）中才能在 openLDAP 中启用 SSL：http://www.openldap.org/faq/data/cache/185.html

阅读上面的描述后，我不确定作者是否正在处理一个 openLDAP 客户端和一个 openLDAP 服务器，以及这是否是使连接正常工作必须进行的唯一更改。

这里有人知道是否可以使用 SSL 连接从 openLDAP 客户端连接到 IBM LDAP 服务器？

有人有这方面的经验吗？

非常感谢！

【问题讨论】：

【解决方案1】：

据我所知，OpenSSL 不再在其信任库（即 CA 证书文件）中提供 CA 签名者证书。因此，您必须通过文件.ldaprc 或ldap.conf 配置OpenLDAP 的ldapsearch，以指定具有LDAP 服务器签名者证书的信任库的位置。像这样的：

TLS_CACERT /usr/ssl/certs/my.ldapserver.certs.pem
# TLS_CACERTDIR /usr/ssl/certs/
TLS_REQCERT never|allow||try|demand|hard

见

了解更多详情。

【讨论】：

【解决方案2】：

IBM's website 讨论了这个错误。

关于密钥不在密钥库中、已过期或未使用端口 636 的许多可能性，主要是服务器端。因此，您可以查看此内容，看看它是否对您有帮助。

【讨论】：