<html xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:st1="urn:schemas-microsoft-com:office:smarttags" xmlns="http://www.w3.org/TR/REC-html40" xmlns:ns0="urn:schemas-microsoft-com:office:smarttags"> <head> <META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=us-ascii"> <meta name=Generator content="Microsoft Word 11 (filtered medium)"> <o:SmartTagType namespaceuri="urn:schemas-microsoft-com:office:smarttags" name="City"/> <o:SmartTagType namespaceuri="urn:schemas-microsoft-com:office:smarttags" name="place"/>  <style>  </style> </head> <body lang=EN-GB link=blue vlink=purple> <div class=Section1> It seems the settings needed to get RHAS5 going differ to RHAS4….<o:p></o:p> <o:p> </o:p> This is how I did RHAS4, any ideas what additions or changes are needed for RHAS5?<o:p></o:p> <o:p> </o:p> The client connects to the server but fails to get a password……I disabled TLS but it still fails suggesting something a bit more fundamental….<o:p></o:p> <o:p> </o:p> Red Hat AS4 client ssl setup<o:p></o:p> <pre><o:p> </o:p></pre><pre>First thing, scp the ca cert over, otherwise you may not be able to scp it over once you have edited some of the files below.<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>On the server if you have not already done so generate the certificate,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>cd /opt/fedora-ds/alias ; cp cacert.asc /etc/openldap/cacerts/`openssl x509 \<o:p></o:p></pre><pre>-noout -hash -in cacert.asc`.0<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>There will now be two files of interest,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>-rw-r--r-- 1 root root 619 Sep 17 16:27 5be5959f.0<o:p></o:p></pre><pre>-rw-r--r-- 1 root root 619 Sep 17 16:27 cacert.asc<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>On the server, tar these into a file move the certificate over to the client via scp,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Move them to /etc/openldap/cacerts/<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>And create a symbolic link,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>ln –s 5be5959f.0 ca.crt<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>-rw-r--r-- 1 root root 619 Sep 17 16:27 5be5959f.0<o:p></o:p></pre><pre>-rw-r--r-- 1 root root 619 Sep 17 16:27 cacert.asc<o:p></o:p></pre><pre>lrwxrwxrwx 1 root root 10 Sep 17 16:44 ca.crt -> 5be5959f.0<o:p></o:p></pre><pre><o:p> </o:p></pre><pre><o:p> </o:p></pre><pre>Check dependancies,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>rpm –q nss_ldap , needs to be installed.<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Move to the ldap directory and backup the files,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>cd /etc/openldap ; cp ldap.conf no-ssl-fully-working-ldap.conf \<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>cd /etc/ ; cp ldap.conf no-ssl-fully-working-ldap.conf<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>ssh uses the /etc/ldap.conf,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>edit /etc/ldap.conf to this,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>===============<o:p></o:p></pre><pre># http://www.padl.com<o:p></o:p></pre><pre>URI ldap://ldap.vuw.ac.nz<o:p></o:p></pre><pre>base dc=vuw,dc=ac,dc=nz<o:p></o:p></pre><pre>pam_password md5<o:p></o:p></pre><pre>BASE dc=vuw,dc=ac,dc=nz<o:p></o:p></pre><pre>tls_cacertfile /etc/openldap/cacerts/ca.crt<o:p></o:p></pre><pre>TLS_REQCERT allow<o:p></o:p></pre><pre>host ldap.vuw.ac.nz<o:p></o:p></pre><pre>ssl start_tls<o:p></o:p></pre><pre>===============<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Set up nsswitch.conf<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Change,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>=========<o:p></o:p></pre><pre>#passwd: db files ldap <st1:place w:st="on"><st1:City w:st="on">nis</st1:City></st1:place><o:p></o:p></pre><pre>#shadow: db files ldap <st1:place w:st="on"><st1:City w:st="on">nis</st1:City></st1:place><o:p></o:p></pre><pre>#group: db files ldap <st1:place w:st="on"><st1:City w:st="on">nis</st1:City></st1:place><o:p></o:p></pre><pre>=========<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>To,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>=========<o:p></o:p></pre><pre>passwd: files ldap<o:p></o:p></pre><pre>shadow: files ldap<o:p></o:p></pre><pre>group: files ldap<o:p></o:p></pre><pre>=========<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Setup /etc/pam.d/ssh<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>=========<o:p></o:p></pre><pre>auth sufficient /lib/security/pam_ldap.so use_first_pass<o:p></o:p></pre><pre>account sufficient /lib/security/pam_ldap.so use_first_pass<o:p></o:p></pre><pre>password sufficient /lib/security/pam_ldap.so use_first_pass<o:p></o:p></pre><pre>=========<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Check settings for /etc/ssh/sshd_config<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>=========<o:p></o:p></pre><pre>#UsePAM no<o:p></o:p></pre><pre>UsePAM yes<o:p></o:p></pre><pre>=========<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>UsePAM has to be set to yes.<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Restart ssh and try to connect to the client, the access log on the server should show “start_TLS” and “SSL 256-bit AES”.<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>============<o:p></o:p></pre><pre>[root@vuwunicvfdsm001 logs]# tail -f access<o:p></o:p></pre><pre>[18/Sep/2007:06:15:14 +1200] conn=2370 op=-1 fd=74 closed - B1<o:p></o:p></pre><pre>[18/Sep/2007:06:15:18 +1200] conn=2376 fd=71 slot=71 connection from 130.195.87.250 to 130.195.87.249<o:p></o:p></pre><pre>[18/Sep/2007:06:15:18 +1200] conn=2376 op=0 EXT oid="1.3.6.1.4.1.1466.20037" name="startTLS"<o:p></o:p></pre><pre>[18/Sep/2007:06:15:18 +1200] conn=2376 op=0 RESULT err=0 tag=120 nentries=0 etime=0<o:p></o:p></pre><pre>[18/Sep/2007:06:15:18 +1200] conn=2376 SSL 256-bit AES<o:p></o:p></pre><pre>8><-----------<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>=================<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>Another test you can do is,<o:p></o:p></pre><pre><o:p> </o:p></pre><pre>ldapsearch -x -ZZ '(uid=jonesst1)'<o:p></o:p></pre> <o:p> </o:p> Output on the client will typically be,<o:p></o:p> <o:p> </o:p> ================<o:p></o:p> # extended LDIF<o:p></o:p> #<o:p></o:p> # LDAPv3<o:p></o:p> # base <> with scope sub<o:p></o:p> # filter: (uid=jonesst1)<o:p></o:p> # requesting: ALL<o:p></o:p> #<o:p></o:p> <o:p></o:p> # jonesst1, People, vuw.ac.nz<o:p></o:p> dn: uid=jonesst1,ou=People,dc=vuw,dc=ac,dc=nz<o:p></o:p> givenName: Steven<o:p></o:p> sn: Jones<o:p></o:p> loginShell: /bin/bash<o:p></o:p> uidNumber: 500<o:p></o:p> gidNumber: 500<o:p></o:p> objectClass: top<o:p></o:p> objectClass: person<o:p></o:p> objectClass: organizationalPerson<o:p></o:p> objectClass: inetorgperson<o:p></o:p> objectClass: posixAccount<o:p></o:p> uid: jonesst1<o:p></o:p> cn: Steven Jones<o:p></o:p> homeDirectory: /home/jonesst1<o:p></o:p> <o:p></o:p> # search result<o:p></o:p> search: 3<o:p></o:p> result: 0 Success<o:p></o:p> <o:p></o:p> # numResponses: 2<o:p></o:p> # numEntries: 1<o:p></o:p> <o:p> </o:p> On the server check the access log for “startTLS”,<o:p></o:p> <o:p> </o:p> [root@vuwunicvfdsm001 logs]# tail -f access<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 fd=67 slot=67 connection from 130.195.87.250 to 130.195.87.249<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=0 EXT oid="1.3.6.1.4.1.1466.20037" name="startTLS"<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=0 RESULT err=0 tag=120 nentries=0 etime=0<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 SSL 256-bit AES<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=1 BIND dn="" method=128 version=3<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=1 RESULT err=0 tag=97 nentries=0 etime=0 dn=""<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=2 SRCH base="dc=vuw,dc=ac,dc=nz" scope=2 filter="(uid=jonesst1)" attrs=ALL<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=2 RESULT err=0 tag=101 nentries=1 etime=0<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=3 UNBIND<o:p></o:p> [14/Sep/2007:12:52:59 +1200] conn=30 op=3 fd=67 closed - U1<o:p></o:p> <o:p> </o:p> NB. If you get (-11) errors this suggests a ca.crt issue….<o:p></o:p> <o:p> </o:p> regards<o:p></o:p> <o:p> </o:p> <div> Steven <o:p></o:p> </div> </div> </body> </html>