LDAP-Benutzerauthentifizierung über LDAPS (!)

ASTA 2012-08-20 14:43:36 UTC #1

Hallo,

ich versuche seit einem Tag EGroupware an meinen bereits produktiv laufenden LDAP-Server über LDAPS / Port 636 anzubinden. Irgendwie hat so jede Anwendung ihre eigenen Probleme mit ldaps://

An Einstellungen habe ich im Setupbereich bereits folgendes getestet:

LDAP-Host: ldaps://192.168.0.105 und ldaps://192.168.0.105:636
LDAP-Kontext für Benutzerkonten: ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW Domain: (uid=%user), %domain=eGW Domain: (dc=asta,dc=tu-darmstadt,dc=de)
LDAP-Kontext für Gruppe: ou=groups,dc=asta,dc=tu-darmstadt,dc=de
LDAP rootdn Benutzerkonten suchen und Passwörter ändern): cn=admin,dc=asta,dc=tu-darmstadt,dc=de
LDAP-Root-Passwort: …
LDAP-Verschlüsselungstyp: ssha

In der /etc/ldap/ldap.conf sind die Basis für den Zugriff auf den LDAP-Server ebenfalls hinterlegt.
Das System ist ein Debian 6.0.5.

In den Apache-Logs steht immer folgendes:

[Mon Aug 20 16:31:47 2012] [error] [client 192.168.0.4] ldap::ldapConnect(‘ldaps://192.168.0.105:636’, ‘cn=admin,dc=asta,dc=tu-darmstadt,dc=de’, $passwd) Can’t connect/bind to ldap server! Can’t contact LDAP server (-1) ldap->ldapConnect / common::ldapConnect / auth_ldap->authenticate / auth_fallback->authenticate / auth->authenticate / egw_session->create, referer: http://192.168.0.184/egroupware/login.php?cd=5

und auch mal so was:

[Mon Aug 20 16:31:04 2012] [error] [client 192.168.0.4] PHP Warning: ldap_search(): Search: Bad search filter in /usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 66, referer: http://192.168.0.184/egroupware/login.php?cd=1&domain=asta.tu-darmstadt.de
[Mon Aug 20 16:31:04 2012] [error] [client 192.168.0.4] PHP Warning: ldap_get_entries() expects parameter 2 to be resource, boolean given in /usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 67, referer: http://192.168.0.184/egroupware/login.php?cd=1&domain=asta.tu-darmstadt.de

Andere Anwendungen, wie Jabber, Wiki oder OTRS machen keine Probleme mit ldaps (aber natürlich mußte ich da auch erst mal etwas experimentieren).

Hat jemand einen Tipp für mich? Danke!

Grüsse
Ivan

Ralf_Becker_Stylite 2012-08-21 06:29:50 UTC #2

Hi Ivan,

Problem mit LDAPS ist meistens das das verwendete Zertifikat nicht
überprüft werden kann (weil selfsigned oder PHP/OpenLDAP nicht den
richtigen Zertifikatsspeicher verwendet).

Man kann in /etc/openldap/ldap.conf folgenden Parameter setzen, um die
Zertifikatsüberprüfung abzuschalten:

TLS_REQCERT never

Ralf

Hallo,

ich versuche seit einem Tag EGroupware an meinen bereits produktiv laufenden
LDAP-Server über LDAPS / Port 636 anzubinden. Irgendwie hat so jede
Anwendung ihre eigenen Probleme mit ldaps://

An Einstellungen habe ich im Setupbereich bereits folgendes getestet:

LDAP-Host: ldaps://192.168.0.105 und ldaps://192.168.0.105:636
LDAP-Kontext für Benutzerkonten: ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW
Domain: (uid=%user), %domain=eGW Domain: (dc=asta,dc=tu-darmstadt,dc=de)
LDAP-Kontext für Gruppe: ou=groups,dc=asta,dc=tu-darmstadt,dc=de
LDAP rootdn Benutzerkonten suchen und Passwörter ändern):
cn=admin,dc=asta,dc=tu-darmstadt,dc=de
LDAP-Root-Passwort: …
LDAP-Verschlüsselungstyp: ssha

In der /etc/ldap/ldap.conf sind die Basis für den Zugriff auf den
LDAP-Server ebenfalls hinterlegt.
Das System ist ein Debian 6.0.5.

In den Apache-Logs steht immer folgendes:

[Mon Aug 20 16:31:47 2012] [error] [client 192.168.0.4]
ldap::ldapConnect(‘ldaps://192.168.0.105:636’,
‘cn=admin,dc=asta,dc=tu-darmstadt,dc=de’, $passwd) Can’t connect/bind to
ldap server! Can’t contact LDAP server (-1) ldap->ldapConnect /
common::ldapConnect / auth_ldap->authenticate / auth_fallback->authenticate
/ auth->authenticate / egw_session->create, referer:
http://192.168.0.184/egroupware/login.php?cd=5

und auch mal so was:

[Mon Aug 20 16:31:04 2012] [error] [client 192.168.0.4] PHP Warning:
ldap_search(): Search: Bad search filter in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 66,
referer:
http://192.168.0.184/egroupware/login.php?cd=1&domain=asta.tu-darmstadt.de
[Mon Aug 20 16:31:04 2012] [error] [client 192.168.0.4] PHP Warning:
ldap_get_entries() expects parameter 2 to be resource, boolean given in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 67,
referer:
http://192.168.0.184/egroupware/login.php?cd=1&domain=asta.tu-darmstadt.de

Andere Anwendungen, wie Jabber, Wiki oder OTRS machen keine Probleme mit
ldaps (aber natürlich mußte ich da auch erst mal etwas experimentieren).

Hat jemand einen Tipp für mich? Danke!

Grüsse
Ivan

–
View this message in context: http://egroupware.219119.n3.nabble.com/LDAP-Benutzerauthentifizierung-uber-LDAPS-tp3985390.html
Sent from the egroupware-german mailing list archive at Nabble.com.

Live Security Virtual Conference
Exclusive live event will cover all the ways today’s security and
threat landscape has changed and how IT managers can respond. Discussions
will include endpoint security, mobile security and the latest in malware
threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

–
Ralf Becker
Director Software Development

Stylite AG

Morschheimer Strasse 15 | Tel. +49 6352 70629 0
D-67292 Kirchheimbolanden | Fax. +49 6352 70629 30

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Ralf Becker | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 31158 Kaiserslautern Germany

Live Security Virtual Conference
Exclusive live event will cover all the ways today’s security and
threat landscape has changed and how IT managers can respond. Discussions
will include endpoint security, mobile security and the latest in malware
threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

ASTA 2012-08-21 10:06:56 UTC #3

Hi Ivan,

Problem mit LDAPS ist meistens das das verwendete Zertifikat nicht
überprüft werden kann (weil selfsigned oder PHP/OpenLDAP nicht den
richtigen Zertifikatsspeicher verwendet).

Man kann in /etc/openldap/ldap.conf folgenden Parameter setzen, um die
Zertifikatsüberprüfung abzuschalten:

TLS_REQCERT never

Ralf

Hallo Ralf,

das hatte ich bereits so eingestellt, aber es klappt trotzdem nicht

Grüsse
Ivan

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

ASTA 2012-08-21 10:16:19 UTC #4

Hi Ivan,

Problem mit LDAPS ist meistens das das verwendete Zertifikat nicht
überprüft werden kann (weil selfsigned oder PHP/OpenLDAP nicht den
richtigen Zertifikatsspeicher verwendet).

Man kann in /etc/openldap/ldap.conf folgenden Parameter setzen, um die
Zertifikatsüberprüfung abzuschalten:

TLS_REQCERT never

Ralf

OK, hab jetzt nochmal so was simples wie eine reboot des Hosts
aufgeführt. Der LDAP-bind Fehler erscheint jetzt nicht mehr im Log, aber
dafür folgendes:

[Tue Aug 21 12:12:22 2012] [error] [client 192.168.2.6] PHP Warning:
ldap_search(): Search: Bad search filter in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 66,
referer: http://192.168.0.184/egroupware/login.php?cd=5
[Tue Aug 21 12:12:22 2012] [error] [client 192.168.2.6] PHP Warning:
ldap_get_entries() expects parameter 2 to be resource, boolean given in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 67,
referer: http://192.168.0.184/egroupware/login.php?cd=5

Hier nochmal meine Einstellungen des Suchfilters. Hab ich die Syntax
falsch verstanden?

LDAP-Kontext für Benutzerkonten: ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW
Domain: (uid=%user), %domain=eGW Domain: (dc=asta,dc=tu-darmstadt,dc=de)
LDAP-Kontext für Gruppe: ou=groups,dc=asta,dc=tu-darmstadt,dc=de
LDAP rootdn Benutzerkonten suchen und Passwörter ändern):
cn=admin,dc=asta,dc=tu-darmstadt,dc=de
LDAP-Root-Passwort: …
LDAP-Verschlüsselungstyp: ssha

Grüsse
Ivan

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

Ralf_Becker_Stylite 2012-08-21 10:41:49 UTC #5

Hi Ivan,

Problem mit LDAPS ist meistens das das verwendete Zertifikat nicht
überprüft werden kann (weil selfsigned oder PHP/OpenLDAP nicht den
richtigen Zertifikatsspeicher verwendet).

Man kann in /etc/openldap/ldap.conf folgenden Parameter setzen, um die
Zertifikatsüberprüfung abzuschalten:

TLS_REQCERT never

Ralf

OK, hab jetzt nochmal so was simples wie eine reboot des Hosts
aufgeführt. Der LDAP-bind Fehler erscheint jetzt nicht mehr im Log, aber
dafür folgendes:

[Tue Aug 21 12:12:22 2012] [error] [client 192.168.2.6] PHP Warning:
ldap_search(): Search: Bad search filter in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 66,
referer: http://192.168.0.184/egroupware/login.php?cd=5
[Tue Aug 21 12:12:22 2012] [error] [client 192.168.2.6] PHP Warning:
ldap_get_entries() expects parameter 2 to be resource, boolean given in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 67,
referer: http://192.168.0.184/egroupware/login.php?cd=5

Hier nochmal meine Einstellungen des Suchfilters. Hab ich die Syntax
falsch verstanden?

LDAP-Kontext für Benutzerkonten: ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW
Domain: (uid=%user), %domain=eGW Domain: (dc=asta,dc=tu-darmstadt,dc=de)

“(dc=asta,dc=tu-darmstadt,dc=de)” ist KEIN Suchfilter!

“(uid=%user)” ist einer oder “(mail=%user)”.

Ralf

LDAP-Kontext für Gruppe: ou=groups,dc=asta,dc=tu-darmstadt,dc=de
LDAP rootdn Benutzerkonten suchen und Passwörter ändern):
cn=admin,dc=asta,dc=tu-darmstadt,dc=de
LDAP-Root-Passwort: …
LDAP-Verschlüsselungstyp: ssha

Grüsse
Ivan

Live Security Virtual Conference
Exclusive live event will cover all the ways today’s security and
threat landscape has changed and how IT managers can respond. Discussions
will include endpoint security, mobile security and the latest in malware
threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

–
Ralf Becker
Director Software Development

Stylite AG

Morschheimer Strasse 15 | Tel. +49 6352 70629 0
D-67292 Kirchheimbolanden | Fax. +49 6352 70629 30

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Ralf Becker | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 31158 Kaiserslautern Germany

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

ASTA 2012-08-21 12:01:03 UTC #6

Hi Ivan,

Problem mit LDAPS ist meistens das das verwendete Zertifikat nicht
überprüft werden kann (weil selfsigned oder PHP/OpenLDAP nicht den
richtigen Zertifikatsspeicher verwendet).

Man kann in /etc/openldap/ldap.conf folgenden Parameter setzen, um die
Zertifikatsüberprüfung abzuschalten:

TLS_REQCERT never

Ralf

OK, hab jetzt nochmal so was simples wie eine reboot des Hosts
aufgeführt. Der LDAP-bind Fehler erscheint jetzt nicht mehr im Log, aber
dafür folgendes:

[Tue Aug 21 12:12:22 2012] [error] [client 192.168.2.6] PHP Warning:
ldap_search(): Search: Bad search filter in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 66,
referer: http://192.168.0.184/egroupware/login.php?cd=5
[Tue Aug 21 12:12:22 2012] [error] [client 192.168.2.6] PHP Warning:
ldap_get_entries() expects parameter 2 to be resource, boolean given in
/usr/share/egroupware/phpgwapi/inc/class.auth_ldap.inc.php on line 67,
referer: http://192.168.0.184/egroupware/login.php?cd=5

Hier nochmal meine Einstellungen des Suchfilters. Hab ich die Syntax
falsch verstanden?

LDAP-Kontext für Benutzerkonten:
ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW
Domain: (uid=%user), %domain=eGW Domain: (dc=asta,dc=tu-darmstadt,dc=de)

“(dc=asta,dc=tu-darmstadt,dc=de)” ist KEIN Suchfilter!

“(uid=%user)” ist einer oder “(mail=%user)”.

OK, das erklärt einiges, Danke Ralf!

Hab jetzt als Suchfilter nur “(uid=%user)” (ohne Anführungstriche)
gesetzt, Login klappt leider trotzdem nicht (Falscher Benutzername oder
Passwort - wie bisher auch), aber ich bekomme nun auch keine
Fehlermeldung diesbezgl. mehr im Apache error.log, außer:

PHP Warning: realpath(): open_basedir restriction in effect.
File(/var/www) is not within the allowed path(s):
(/usr/share/egroupware:/var/lib/egroupware:/tmp:/usr/share/php:/usr/local/zend/share/pear:/usr/bin/zip:/usr/share/jpgraph:/usr/bin/tnef:/usr/bin/aspell:/usr/share/fonts)
in /usr/share/egroupware/setup/inc/class.setup_detection.inc.php on line
559, referer: http://192.168.0.184/egroupware/setup/config.php

Aber das dürfte nicht damit zusammenhängen, wenn ich das richtig
verstehe oder?

Hat EGroupware irgendwo ein eigenes Fehlerlog? Über das Browsermenü des
Sysop (Fehlerprotokoll anzeigen) bekomme ich nichts heraus, da komplett
leer.

Viele Grüsse
Ivan

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

Ralf_Becker_Stylite 2012-08-21 14:58:41 UTC #7

Hi Ivan,

Hier nochmal meine Einstellungen des Suchfilters. Hab ich die Syntax
falsch verstanden?

LDAP-Kontext für Benutzerkonten:
ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW
Domain: (uid=%user), %domain=eGW Domain: (dc=asta,dc=tu-darmstadt,dc=de)

“(dc=asta,dc=tu-darmstadt,dc=de)” ist KEIN Suchfilter!

“(uid=%user)” ist einer oder “(mail=%user)”.

OK, das erklärt einiges, Danke Ralf!

Hab jetzt als Suchfilter nur “(uid=%user)” (ohne Anführungstriche)
gesetzt, Login klappt leider trotzdem nicht (Falscher Benutzername oder
Passwort - wie bisher auch), aber ich bekomme nun auch keine

Sorry, Du musst doch wissen wo in Deinem LDAP der Benutzername steht,
den Du in EGroupware verwendest.

Ich glaube Du brauchst ein Consulting bzgl. der LDAP Integration. Ich
hab’ keine Zeit sowas grundsätzliches auf der Liste zu lösen.

Sorry

Ralf

Fehlermeldung diesbezgl. mehr im Apache error.log, außer:

PHP Warning: realpath(): open_basedir restriction in effect.
File(/var/www) is not within the allowed path(s):
(/usr/share/egroupware:/var/lib/egroupware:/tmp:/usr/share/php:/usr/local/zend/share/pear:/usr/bin/zip:/usr/share/jpgraph:/usr/bin/tnef:/usr/bin/aspell:/usr/share/fonts)
in /usr/share/egroupware/setup/inc/class.setup_detection.inc.php on line
559, referer: http://192.168.0.184/egroupware/setup/config.php

Aber das dürfte nicht damit zusammenhängen, wenn ich das richtig
verstehe oder?

Hat EGroupware irgendwo ein eigenes Fehlerlog? Über das Browsermenü des
Sysop (Fehlerprotokoll anzeigen) bekomme ich nichts heraus, da komplett
leer.

Viele Grüsse
Ivan

Live Security Virtual Conference
Exclusive live event will cover all the ways today’s security and
threat landscape has changed and how IT managers can respond. Discussions
will include endpoint security, mobile security and the latest in malware
threats. http://www.accelacomm.com/jaw/sfrnl04242012/114/50122263/

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

–
Ralf Becker
Director Software Development

Stylite AG

Morschheimer Strasse 15 | Tel. +49 6352 70629 0
D-67292 Kirchheimbolanden | Fax. +49 6352 70629 30

Email: rb@stylite.de

www.stylite.de | www.egroupware.org

Managing Directors: Andre Keller | Ralf Becker | Gudrun Mueller
Chairman of the supervisory board: Prof. Dr. Birger Leon Kropshofer

VAT DE214280951 | Registered HRB 31158 Kaiserslautern Germany

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

ASTA 2012-08-21 15:36:02 UTC #8

Hi Ivan,

Hier nochmal meine Einstellungen des Suchfilters. Hab ich die Syntax
falsch verstanden?

LDAP-Kontext für Benutzerkonten:
ou=people,dc=asta,dc=tu-darmstadt,dc=de
LDAP Suchfilter für Benutzerkonten, Vorgabe “(uid=%user)”, %domain=eGW
Domain: (uid=%user), %domain=eGW Domain:
(dc=asta,dc=tu-darmstadt,dc=de)

“(dc=asta,dc=tu-darmstadt,dc=de)” ist KEIN Suchfilter!

“(uid=%user)” ist einer oder “(mail=%user)”.

OK, das erklärt einiges, Danke Ralf!

Hab jetzt als Suchfilter nur “(uid=%user)” (ohne Anführungstriche)
gesetzt, Login klappt leider trotzdem nicht (Falscher Benutzername oder
Passwort - wie bisher auch), aber ich bekomme nun auch keine

Sorry, Du musst doch wissen wo in Deinem LDAP der Benutzername steht,
den Du in EGroupware verwendest.

Naja, das mit der uid stimmt schon. So hab ich es auch auf anderen
System hier konfiguriert. Deswegen wundert es mich ja, daß es trotzdem
nicht klappt.

Ich glaube Du brauchst ein Consulting bzgl. der LDAP Integration. Ich
hab’ keine Zeit sowas grundsätzliches auf der Liste zu lösen.

Ja, das ist auch meine Erwägung…

Sorry

Wofür? Bin für jeden Hinweis dankbar und wir sind ja auch schon ein
ganzes Stück weitergekommen

Danke!

Grüsse
Ivan

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german