LDAP bind failed: OpenVPN Authentisierung gegen OpenLDAP

lakul · Beitrag von **lakul** » 13.08.2011 10:59:51

Hallo,

ich betreibe einen Debian 6 Server auf welchem ich bereits erfolgreich OpenLDAP 2.4.23 inkl. phpLDAPadmin eingerichtet habe. LDAP scheint soweit wunderbar zu funktionieren, z.B. auch ein SVN Server problemlos auf OpenLDAP zurückgreifen kann und sich die Benutzer authentifizieren können. Jetzt möchte ich gerne noch meinen OpenVPN mit der LDAP DB verbinden. Dazu bin ich nach folgender Anleitung vorgegangen:
http://www.howtoforge.com/set-up-openvp ... .0-squeeze
Alle Schritte konnte ich problemlos abarbeiten. Wenn ich jetzt aber eine Verbindung von einem Client aufbauen will, meldet der Server:

Code: Alles auswählen

MULTI: multi_create_instance called
Re-using SSL/TLS context
LZO compression initialized
Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Local Options hash (VER=V4): '530fdded'
Expected Remote Options hash (VER=V4): '41690919'
TLS: Initial packet from [AF_INET]141.76.185.231:63374, sid=108a515f 74d0ce81
LDAP bind failed immediately: Can't contact LDAP server
Unable to bind as cn=admin,dc=testdomain
LDAP connect failed.
PLUGIN_CALL: POST /usr/lib/openvpn/openvpn-auth-ldap.so/PLUGIN_AUTH_USER_PASS_VERIFY status=1
PLUGIN_CALL: plugin function PLUGIN_AUTH_USER_PASS_VERIFY failed with status 1: /usr/lib/openvpn/openvpn-auth-ldap.so
TLS Auth Error: Auth Username/Password verification failed for peer
Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA
[] Peer Connection Initiated with [AF_INET]141.76.185.231:63374
PUSH: Received control message: 'PUSH_REQUEST'
Delayed exit in 5 seconds
Sat Aug 13 10:41:19 2011 141.76.185.231:63374 SENT CONTROL [UNDEF]: 'AUTH_FAILED' (status=1)
Sat Aug 13 10:41:21 2011 read UDPv4 [ECONNREFUSED]: Connection refused (code=111)
Sat Aug 13 10:41:24 2011 141.76.185.231:63374 SIGTERM[soft,delayed-exit] received, client-instance exiting

Laut dieser Meldung kann OpenVPN mit den Daten in der auth-ldap.conf also cn=admin,dc=testdomain und dem angegebenen Passwort keine Verbindung herstellen.
Zur Kontrolle nochmal hier meine /etc/openvpn/auth/auth-ldap.conf

Code: Alles auswählen

<LDAP>
        URL ldap://127.0.0.1
        BindDN cn=admin,dc=testdomain
        Password {SSHA}<verschiedene zeichen>
        Timeout         15
        TLSEnable no
        FollowReferrals yes
        TLSCACertFile   /usr/local/etc/ssl/ca.pem
        TLSCACertDir    /etc/ssl/certs
        TLSCertFile     /usr/local/etc/ssl/client-cert.pem
        TLSKeyFile      /usr/local/etc/ssl/client-key.pem
</LDAP>
<Authorization>
        BaseDN "ou=people,dc=testdomain"
        SearchFilter "(&(uid=%u)(accountStatus=active))"
        RequireGroup false
</Authorization>

Ich habe dann einen weiteren Versuch unternommen, weil sich nämlich meine SVN Installation nicht erst bei LDAP mit Benutzerdaten anmelden muss um in der Datenbank zu lesen und die auth-ldap.conf folgendermaßen angeändert:

Code: Alles auswählen

<LDAP>
        URL ldap://127.0.0.1:389
        # BindDN cn=admin,dc=testdomain
        # Password {SSHA}<verschiedene zeichen>
        Timeout         15
        TLSEnable no
        FollowReferrals yes
        TLSCACertFile   /usr/local/etc/ssl/ca.pem
        TLSCACertDir    /etc/ssl/certs
        TLSCertFile     /usr/local/etc/ssl/client-cert.pem
        TLSKeyFile      /usr/local/etc/ssl/client-key.pem
</LDAP>
<Authorization>
        BaseDN "ou=people,dc=testdomain"
        SearchFilter "(&(uid=%u)(accountStatus=active))"
        RequireGroup false
</Authorization>

Also ich habe kein BindDN und kein Passwort angeben. Wenn ich mich jetzt wieder mit einem Benutzer versuche anzumelden. erhalte ich folgende Meldung vom OpenVPN Server:

Code: Alles auswählen

LDAP search failed: No such object
LDAP user "testbenutzer" was not found.

Diesen Benutzer gibt es aber definitiv und er funktioniert auch, denn sowohl per SVN und auch auf anderen Clients (Computern) im Netzwerk kann ich mich mit diesem Nutzer anmelden.

Habt ihr eine Idee wo mein Fehler liegen könnte, oder wo ich nochmal nachschauen sollte? Wenn noch fragen sind einfach schreiben. Danke

lakul