DNS Einträge für LDAP Server

[reox]

Hallo,
Was ist denn die Best Practise für die DNS Einträge für LDAP Server?
Wir haben 2 LDAP Server, wobei der eine seine Daten nur vom ersten repliziert und halt Anfragen annimmt. Am ersten Server werden auch Sachen geschrieben, aber eigentlich nur sehr selten.
Daher sind am 2. Server alle User so eingestellt das sie (bis auf der repl user und ein admin) keine schreibberechtigung haben.
Nun hängen an den Kisten rel. viele Clients die das ldap regelmäßig brauchen (Webseiten, Mailserver, PAM usw..)
Wie würdet ihr für den die DNS einträge anlegen? Round Robin ist da ja eher schlecht oder? Ich glaube load balacing ist eigentlich nicht erforderlich, soviel traffic erzeugt das dann auch net

danke für tipps!

[ThorstenS]

Der LDAP-Master (Provider,also der, der auch schreibt), sollte nicht von den Clients angesprochen werden.
Bei mir heißt er ldapmaster.dmz.domain.tld.
Der LDAP-Server, der bei den Clients eingetragen ist (der provider), heißt bei mir ldap1.dmz.domain.tld.
RoundRobin ist schlecht wg. deinen SSL-Zetifikaten. Wenn du die Last später mal verteilen willst, dann trag bei den Clients eine andere Reihenfolge in der ldap.conf ein. (Also mal ldap1 ldap2 und mal ldap2 ldap1).

[reox]

mh prinzipell haben wir sogar kein ssl weil die kisten eh alle im lokalen netz hängen (ok security is in dem fall echt nebensächlich )
es geht bei unserem setup auch eher darum das wir mehr verfügbarkeit haben.
Mh wie meinst du mehrere in die ldap.conf eintragen? Ich weiß nicht wie das bei den meisten Programmen die ldap verwenden funktioniert das ich mehrere server angebe^^ wäre es da am besten wenn ich einen CNAME mit verschiedenen TTL werten erstelle?

[ThorstenS]

Code: Alles auswählen

root@client: $ cat /etc/ldap/ldap.conf
  BASE  dc=example,dc=com
  URI ldap://ldap1.example.com  ldap://ldap2.example.com
  DEREF   always
  TLS_CACERT  /etc/ssl/certs/cacert.pem

Ich persönlich würde die Finger lassen von dem DNS herumgeschraube. Aber evtl. sehen das andere hier so wie du.

[reox]

mh ok, wie schaut denn das aus wenn ich in der ldap conf was stehen hab, wie checkt dann zB dovecot wohin es sich verbinden soll?

[ThorstenS]

sorry, ich habe nur samba (und lapvi), die mit dem LDAP Server sprechen. Wie dovecot damit umgeht, kann ich dir nicht sagen.

[reox]

hi,
ok ich hab grad ein bissi doku gelesen und dovecot kann eh zumindest mehrere server verwenden. dann werde ich da auf größere dns geschichten verzichten und einfach immer die beiden kisterln eintragen!

danke!