การทดสอบการเชื่อมต่อ LDAP ที่ปลอดภัย

ใช้ยูทิลิตี ldapsearch จากบรรทัดคำสั่งเพื่อทำการค้นหา LDAP ขั้นพื้นฐาน ผลลัพธ์การค้นหา LDAP ที่สำเร็จแสดงว่าไคลเอ็นต์ LDAP, เซสชัน TLS พื้นฐาน และการเชื่อมต่อ TCP ทำงานได้ตามที่ต้องการ

วิธีทดสอบการเชื่อมต่อด้วย ldapsearch

1. สร้างการกำหนดค่า LDAP และดาวน์โหลดใบรับรองตามวิธีการในเพิ่มไคลเอ็นต์ LDAP

   หมายเหตุ: เพื่อให้สภาพแวดล้อมการทดสอบง่ายขึ้น โปรดตรวจสอบว่ามีผู้ใช้อย่างน้อย 1 รายในหน่วยขององค์กรที่คุณให้สิทธิ์เข้าถึงไคลเอ็นต์ LDAP

2. ดำเนินการค้นหา LDAP ตัวอย่างนี้จะค้นหาผู้ใช้รายหนึ่ง (ดูรายละเอียดเพิ่มเติมได้ที่ OpenLDAP ldapsearch)

   LDAPTLS_CERT={crt_file} LDAPTLS_KEY={key_file} ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} '(mail={user_email})'

   แทนที่ตัวยึดตำแหน่งดังนี้

   • {crt_file} ชื่อของไฟล์ .crt
   • {key_file} ชื่อไฟล์ของไฟล์ .key
   • {domain} แต่ละส่วนของชื่อโดเมน เช่น example.com จะกลายเป็น "dc=example,dc=com"
   • {user_email} อีเมลหลักของผู้ใช้ในโดเมน

หมายเหตุเกี่ยวกับการใช้ ldapsearch

• หากไม่ได้ระบุค่า BindDN ldapsearch จะใช้คีย์และใบรับรองเพื่อให้สิทธิ์การค้นหา
• หากค่า BindDN เป็นชื่อผู้ใช้ LDAP ที่คุณสร้างในคอนโซลผู้ดูแลระบบ ldapsearch จะใช้สิทธิ์ของไคลเอ็นต์ LDAP ตามที่กำหนดค่าไว้ในคอนโซลผู้ดูแลระบบ

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {ldap_access_credentials_username} -W '(mail={user_email})

• หากค่า BindDN เป็นอีเมลหรือชื่อที่โดดเด่นของ LDAP ของผู้ใช้ Workspace ldapsearch จะใช้ข้อมูลเข้าสู่ระบบของผู้ใช้รายนั้นเพื่อค้นหาตามสิทธิ์ของผู้ใช้

  ldapsearch -H ldaps://ldap.google.com:636 -b dc={domain},dc={domain} -D {workspace_username@domain} -W '(mail={user_email})'

ใช้ ldapsearch กับ stunnel

หากการติดตั้งใช้งานกำหนดให้คุณต้องใช้ stunnel ให้ทำตามขั้นตอนต่อไปนี้

1. ในคอนโซลผู้ดูแลระบบ ให้สร้างข้อมูลเข้าสู่ระบบเพื่อสร้างชื่อผู้ใช้และรหัสผ่านที่ ldapsearch ต้องการ
2. ใช้คำสั่งต่อไปนี้

   ldapsearch -x -D "{username}" -w {password} -H ldap://{stunnel_host}:{stunnel_port} -b dc={domain},dc={domain} '(mail={user_email})'

   แทนที่ตัวยึดตำแหน่งดังนี้

   • {username} ชื่อผู้ใช้จากข้อมูลเข้าสู่ระบบที่สร้างขึ้นในคอนโซลผู้ดูแลระบบ
   • {password} รหัสผ่านจากข้อมูลเข้าสู่ระบบที่สร้างขึ้นในคอนโซลผู้ดูแลระบบ
   • {stunnel_host} : ที่อยู่ IP หรือชื่อโฮสต์ของเครื่องที่เรียกใช้ stunnel ในเครือข่าย
   • {stunnel_port} : พอร์ตที่ stunnel กำลังทำงานหรือตรวจสอบการตั้งค่า stunnel
   • {user_email} อีเมลหลักของผู้ใช้ในโดเมน

สถานการณ์ที่คำสั่ง ldapsearch ทำงานได้สำเร็จ

เอาต์พุตที่สำเร็จของคำสั่ง ldapsearch จะแสดงรายชื่อผู้ใช้ที่มีอีเมล (ตามที่ระบุเมื่อสร้างไคลเอ็นต์ LDAP) ในรูปแบบ LDIF

เช่น

# extended LDIF
#
# LDAPv3
# base <dc=example,dc=com> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
#

# example.com
dn: dc=example,dc=com
objectClass: top
objectClass: domain
objectClass: dcObject
dc: example

# admin-group, Groups, example.com
dn: cn=admin-group,ou=Groups,dc=example,dc=com
objectClass: top
objectClass: groupOfNames
objectClass: posixGroup
cn: admin-group
displayName: admin-group
description:
gidNumber: 12345
member: uid=admin,ou=Users,dc=example,dc=com
memberUid: admin
googleAdminCreated: FALSE

# example-user, Users, example.com
dn: uid=example-user,ou=Users,dc=example,dc=com
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
objectClass: posixAccount
uid: example-user
googleUid: example-user
posixUid: example-user
cn: example-user
cn: FirstName LastName
sn: FirstName
displayName: FirstName LastName
givenName: FirstName
mail: example-user@example.com
uidNumber: 12345
gidNumber: 12345
homeDirectory: /home/example-user
loginShell: /bin/bash
gecos:

ข้อผิดพลาดที่อาจเกิดขึ้น

• คอมไพล์ไคลเอ็นต์และ/หรือไลบรารี OpenLDAP โดยไม่รองรับ SNI
  
  ไคลเอ็นต์ LDAP (ในกรณีนี้คือ OpenLDAP) ต้องรองรับ SNI (การระบุชื่อเซิร์ฟเวอร์) หาก SNI ไม่พร้อมใช้งาน คุณอาจเห็นข้อผิดพลาดที่คล้ายกับข้อความต่อไปนี้
  
  SASL/EXTERNAL authentication started

ldap_sasl_interactive_bind_s: Unknown authentication method (-6)
additional info: SASL(-4): no mechanism available:
  
  คำแนะนำ:
  • หากคุณใช้ MacOS ระบบจะเปิดใช้ SASL ตามค่าเริ่มต้นและจะข้ามได้โดยใช้ตัวเลือก "-x"
  • เพิ่มตัวเลือก -d5 ลงใน ldapsearch แล้วตรวจสอบเอาต์พุตสำหรับบรรทัดต่อไปนี้
    
    TLS certificate verification: depth: 0, err: 18, subject: /OU=No SNI provided; please fix your client.
    

• ldapsearch แสดงสถานะ 0 (สำเร็จ) แต่ไม่มีเอาต์พุตผู้ใช้
  
  การระบุตัวเลือก ldapsearch -x (ใช้การตรวจสอบสิทธิ์ SASL) ด้วยใบรับรองไคลเอ็นต์จะตรวจสอบสิทธิ์ได้สำเร็จ แต่จะไม่แสดงผู้ใช้ในโดเมน
  
  คำแนะนำ: นำตัวเลือก -x ออกแล้วลองอีกครั้ง

1. ทำตามขั้นตอนที่ 1-11 ใน ldp.exe (Windows) เพื่อติดตั้งใบรับรองไคลเอ็นต์
2. ไปที่ Action > Connect to…
3. ป้อนการตั้งค่าการเชื่อมต่อต่อไปนี้
   
   ชื่อ: พิมพ์ชื่อสำหรับการเชื่อมต่อ เช่น Google LDAP
   จุดเชื่อมต่อ: "เลือกหรือพิมพ์ชื่อที่โดดเด่นหรือบริบทการตั้งชื่อ"
   ป้อนชื่อโดเมนในรูปแบบ DN (เช่น dc=example,dc=com สำหรับ example.com)
   
   คอมพิวเตอร์: "เลือกหรือพิมพ์โดเมนหรือเซิร์ฟเวอร์"
   ldap.google.com
   
   ใช้การเข้ารหัสที่อิงตาม SSL: เลือก
   
4. คลิกขั้นสูง... แล้วป้อนรายละเอียดต่อไปนี้
   
   ระบุข้อมูลเข้าสู่ระบบ: เลือก
   ชื่อผู้ใช้: ชื่อผู้ใช้ของข้อมูลเข้าสู่ระบบเพื่อเข้าถึงจากคอนโซลผู้ดูแลระบบ
   รหัสผ่าน: รหัสผ่านของข้อมูลเข้าสู่ระบบเพื่อเข้าถึงจากคอนโซลผู้ดูแลระบบ
   หมายเลขพอร์ต: 636
   โปรโตคอล: LDAP
   การตรวจสอบสิทธิ์การเชื่อมโยงอย่างง่าย: เลือก
   
5. คลิก OK แล้วคลิก OK อีกครั้ง
6. หากการเชื่อมต่อเสร็จสิ้น เนื้อหาไดเรกทอรีใน DN ฐานจะปรากฏในแผงด้านขวา

1. ติดตั้ง OpenSSL
2. แปลงไฟล์ใบรับรองและคีย์เป็นไฟล์รูปแบบ PKCS12 ไฟล์เดียว ที่ Command Prompt ให้ป้อนข้อมูลต่อไปนี้
   
   openssl pkcs12 -inkey ldap-client.key -in ldap-client.crt -export -out ldap-client.p12
   
   ป้อนรหัสผ่านเพื่อเข้ารหัสไฟล์เอาต์พุต
   
3. ไปที่ Control Panel
4. ในช่องค้นหา ให้ค้นหา "ใบรับรอง" แล้วคลิกจัดการใบรับรองผู้ใช้
5. ไปที่ Action > All Tasks > Import…
6. เลือก Current User แล้วคลิก Next
7. คลิก Browse…
8. ในเมนูแบบเลื่อนลง file type ที่มุมขวาล่างของกล่องโต้ตอบ ให้เลือก Personal Information Exchange (*.pfx;*.p12)
9. เลือกไฟล์ ldap-client.p12 จากขั้นตอนที่ 2 คลิกเปิด แล้วคลิกถัดไป
10. ป้อนรหัสผ่านจากขั้นตอนที่ 2 และคลิก Next
11. เลือกที่เก็บใบรับรองส่วนตัว คลิกถัดไป แล้วคลิกเสร็จสิ้น
12. เรียกใช้ Ldp.exe
13. ไปที่การเชื่อมต่อ > เชื่อมต่อ...
14. ป้อนรายละเอียดการเชื่อมต่อต่อไปนี้
    
    เซิร์ฟเวอร์: ldap.google.com
    พอร์ต: 636
    ไม่มีการเชื่อมต่อ: ยกเลิกการเลือก
    SSL: เลือก
    
15. คลิกตกลง
16. ไปที่ View > Tree
17. ป้อน DN พื้นฐาน ซึ่งเป็นชื่อโดเมนในรูปแบบ DN (ตัวอย่างเช่น dc=example,dc=com สำหรับ example.com)
18. คลิก OK
19. หากการเชื่อมต่อเสร็จสิ้น เนื้อหาไดเรกทอรีใน DN ฐานจะปรากฏในแผงด้านขวา