Forum général.général Cacti et OpenLDAP/TLS

Posté par  .
Étiquettes : aucune
0
17
sept.
2009
Bonjour,

J'ai actuellement un serveur OpenLDAP avec authentification TLS fonctionnelle.
Je voudrais utiliser ce serveur avec cacti mais j'ai systématiquement une erreur :


LDAP Error: Protocol error, unable to start TLS communications


Le serveur OpenLDAP ne fonctionne qu'avec TLS et cacti est en version 0.8.7e.
Le serveur LDAP exige aussi que le système s'authentifie au préalable avec un couple admin/mdp.

Vous pouvez trouver dans le lien suivant ma config cacti :
http://niconux.be/files/screen.png

Si quelqu'un a une idée ou sait m'expliquer ce que je doit faire, ce serait sympa.

Merci.

  • # 3 choix possibles pour lidentifcation

    Posté par  . Évalué à 3.

    d'apres ta capture d'ecran

    1°) No searching
    2°) Anonymous searching
    3°) Specific searching

    tu as essayé le 3 ?
    en lui precisant un DN qui existe dans la base et qui aurait le droit de faire la recherche ?

    • [^] # Re: 3 choix possibles pour lidentifcation

      Posté par  . Évalué à 1.

      J'ai mit le "Specific searching" et comme DN "cn=admin,dc=company,dc=local", soit ce que j'utilise comme rootbinddn au niveau de pam-ldap.

      J'ai toujours la même erreur... une idée ?
      C'est assez embêtant parce-que à part ce message, je n'ai pas beaucoup d'autres infos pour débugger.

      • [^] # Re: 3 choix possibles pour lidentifcation

        Posté par  . Évalué à 3.

        en lisant bien l'ecran on voit que le DN specifié en dessous des choix de recherche
        n'est valide que dans le cas du "no searching"

        et qu'il doit correspondre à la branche dans laquelle l'utilisateur va se trouver
        avec comme syntaxe
        uid=,ou=...,dc=...,dc=...

        car sera remplacer par le login entrant dans cacti

        sinon apparemment c'est en bas qu'il faut remplir les :
        search DN
        search Password

        • [^] # Re: 3 choix possibles pour lidentifcation

          Posté par  . Évalué à 1.

          Finalement grâce à votre aide (merci beaucoup) l'authentification fonctionne.
          Ceci dit le résultat final ne correspond pas à ce que j'aurai espéré, snif.

          Mon but au final est de ne pas devoir réajouter les users LDAP dans cacti (centraliser les infos) mais pouvoir malgré tout indiquer à cacti que tel user a le droit de regarder tel graphe.

          Pour l'instant tout ce que j'ai trouvé m'oblige a recrée les utilisateurs dans cacti en spécifiant que l'authentification se fait en LDAP (néanmoins, je dois quand même retaper login, password et autres infos ...).

          Une idée par rapport à ce dernier point ?

          • [^] # Re: 3 choix possibles pour lidentifcation

            Posté par  (site web personnel) . Évalué à 1.

            Intégrer les spécificités de Cacti dans un schéma de l'annuaire Ldap...

            Système - Réseau - Sécurité Open Source - Ouvert à de nouvelles opportunités

          • [^] # Re: 3 choix possibles pour lidentifcation

            Posté par  . Évalué à 2.

            tu as essayé l'option nosearch
            en mettant dans le DN juste en dessous le chemin ou se trouvent les utilisateurs ?

            normalement il doit chercher l'utilisateur en remplacant par le login de l'utilisateur

            • [^] # Re: 3 choix possibles pour lidentifcation

              Posté par  . Évalué à 1.

              Finalement ça marche, l'authentification fonctionne très bien (SSL, LDAP v3 et les DN correct), l'accès est restreint à un groupe cacti et la solution est satisfaisante.

              Je dois juste crée mes users dans phpldapadmin pour ensuite configurer l'accès aux graphes dans cacti, ce qui n'est pas trop dérangeant.

              Merci beaucoup pour ton aide NeoX.

  • # Unable to start TLS : problème de nom ou de certificat...

    Posté par  . Évalué à 2.

    Généralement, quand la session TLS ne peut pas commencer, c'est que le certificat ne peut pas être vérifié (tu n'as pas le certificat de l'autorité ou c'est un certificat auto-signé), ou que le nom ne correspond pas à celui du certificat.

    Si c'est un certificat auto-signé, tu peux rajouter TLS_REQCERT never dans ton ldap.conf (côté client), pour que le certificat du serveur ne soit pas vérifié.

    Si c'est un problème de différence entre le CN du certificat et le nom utilisé pour appeler le serveur, il suffit de modifier la configuration de cacti (avec éventuellement une entrée dans le fichier hosts).

    Après, tu peux vérifier ce qui se passe en utilisant ssldump ou wireshark (si le support SSL est compilé), à condition de te munir de la clef privée du serveur (si tant est que tu y a accès).

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.