WCM Forum

WCM Forum (http://www.wcm.at/forum/index.php)
-   Linux, UNIX, Open Source (http://www.wcm.at/forum/forumdisplay.php?f=13)
-   -   LDAP Authentifizierungsproblem (http://www.wcm.at/forum/showthread.php?t=160379)

Nestrus 04.03.2005 19:23
LDAP Authentifizierungsproblem
 
Hallo,

ich hab auf einem Gentoo-Server ein LDAP-directory installiert.
Es funktioniert so weit auch und ich kann mich mit dem Java-Tool LDAP Browser/Editor wunderbar connecten, Dinge anlegen, löschen was ich will.

Da ich aber auch von anderen Services auf das Directory zugreifen sollte (dafür ist es ja da) muss ich auch lokal etwas machen können, allerdings bekomme ich auf einen ldapsearch -D "cn=Manager,dc=meinweb,dc=at" -W und auch auf ldapadd etc immer folgenden Fehler:

Code:
SASL/DIGEST-MD5 authentication started
ldap_sasl_interactive_bind_s: Internal (implementation specific) error (80)
        additional info: SASL(-13): user not found: no secret in database
Was mache ich den lokal falsch was das Tool richtig macht?


Nestrus

MANX 04.03.2005 20:28
Hi!

ldapsearch -x -D "cn=Manager,dc=meinweb,dc=at"

-x = simple bind ohne SASL

Grüße

Manx

Nestrus 13.03.2005 17:24
Danke für den Hinweis, das hab ich eigentlich eh schon gewusst, aber in dem Moment als ich mein posting geschrieben hab dachte ich nicht mehr daran.

In der Zwischenzeit hab ich mal versucht herauszufinden ob ich SASL überhaupt brauche. (LDAP wurde mit SASL kompiliert weil ich später auch eine Kerberos-Anbindung realisieren soll.)

Eigentlich dachte ich, dass ich so lange ich noch nichts mit Kerberos mache SASL nicht brauche, aber weder pureftpd noch qmail-ldap können auf das directory zugreifen. Ich vermute mittlerweile, dass es an besagter SALS-Authentifizierung liegt.

Weiß jemand wie ich das richten könnte?
Oder wie ich einfach das LDAP prinzipell auf simple bind umstellen kann? (Ist eh alles lokal, sollte also sicherheitstechnisch nicht so schlimm sein.)

MANX 13.03.2005 18:05
Hi!

Ich stell auch grad einen qmail/vpopmail Server auf qmail-ldap um ;) (Debian)
Simple bind sollte IMHO reichen.
Bei mir läuft der LDAP auf der selben Maschine und die (Backup-)Replikation könnte ja über SSL/TLS laufen.

Meine Wünsche (beinahe alles realisiert)

SMTP mit SMTP-Auth und TSL-required
POP3-SSL
IMAP-SSL
Virenscan und Spamassassin via simscan
Webmail - Squirrelmail
Benutzerspezifische Spamassassin Config (geht IMHO nur mit MySQL und Squirrelmail als Web-Frontend)
... und die ganzen qmail-ldap Features ausnützen

Grüße

Manx

PS: Kommst Du mit ldapsearch -x ... erfolgreich an LDAP?

Nestrus 13.03.2005 19:44
Hallo MANX,

das klingt ja schon sehr gut dass du das alles geschafft hast. Wir denken eigentlich an genau die gleichen features (am wichtigsten: SMTP, IMAP und squirrelmail) ich hoffe mit deiner Hilfe bekomme ich das auch noch hin...

Ein simple bind ist mir mehr als recht, wie gesagt ist Kerberos support erst für die Zukunft geplant und ich muß das nicht vor der deadline dieses Projektes realisieren, wäre ein Problem weniger.

Ein ldapsearch -D "cn=Manager,dc=meinweb,dc=at" -x -W funktioniert.

Zuerst hab ich mal http://www.lifewithqmail.org/ldap/ durchgelesen, aber mitterlweile habe ich bemerkt, dass qmail bei mir überhaupt nicht funktioniert, es liegt also wohl nicht am LDAP.
Da ich Gentoo verwende hab ich mich also an http://www.gentoo.org/doc/de/qmail-howto.xml gehalten. Beim Punkt 2.5 sollte qmail ja getestet werden und da bekomme ich schon keine mails.
Das einzige Logfile das was zu sagen scheint ist /var/log/qmail/qmail-send/current:
Code:
@400000004234894632a7eb1c new msg 1212631
@400000004234894632a7fea4 info msg 1212631: bytes 241 from <nestrus@yourhost.net> qp 64 uid 1000
@400000004234894632a80a5c starting delivery 113: msg 1212631 to remote postmaster@yourhost.net
@400000004234894632a8122c status: local 0/10 remote 3/20
@400000004234895236d17c44 new msg 1212634
@400000004234895236d18fcc info msg 1212634: bytes 236 from <nestrus@yourhost.net> qp 24780 uid 1000
@400000004234895236d1979c starting delivery 114: msg 1212634 to remote nestrus@yourhost.net
@400000004234895236d19f6c status: local 0/10 remote 4/20
@4000000042348a3b17ec32ec delivery 111: deferral: Connected_to_63.251.163.112_but_connection_died._(#4.4.2)/
@4000000042348a3b17ec4a5c status: local 0/10 remote 3/20
Sagt das jemand etwas?
So wie es ausschaut, probiert er ja das mail an eine andere Maschine (yourhost.net?) zu senden...

MANX 13.03.2005 20:19
Hi!

... an den Start zurück ;)

Mit Qmail-LDAP meinte ich Andre Oppermanns http://www.qmail-ldap.org/.

Schaut am Anfang sehr kompliziert aus, ist es aber eigentlich gar nicht.

Kann die z.B das von mir angepasste Makefile schicken.

Grüße

Manx

Nestrus 13.03.2005 22:10
Hallo,

ich glaube schon, dass wir das selbe meinen schließlich führt emerge bei der homepage unter anderem ww.nrg4u.com an, was nur eine andere domain für den deinen link ist.
Nur kommt es mir nun so vor, als ob ich nicht ganz verstanden hab was qmail mit qmail-ldap zu tun hat.... (Und ob qmail-ldap den von mir durchgeführten qmail Test können sollte oder nicht.)


Gruß
Nestrus

MANX 13.03.2005 22:19
Hi!

O.k dann passt das schon.
Ich patche qmail immer von Hand, passe das Makefile lt. Doku an usw.
Andre Oppermann hat da schon tolle daemontools Startscripts drin.

Was sagt denn bei dir lt. gentoo Doku:
Code Listing 2.7: Beipiel /var/qmail/control/ Dateien für eine 3rd level Domain

Grüße

Manx

MANX 13.03.2005 22:26
... Nachtrag
 
... emerged Du dann auch vpopmail?

Grüße

Manx

Nestrus 13.03.2005 22:35
vpopmail ist jetzt noch nicht installiert, soll das auch drauf?

In den Dateien steht:
meinweb control # hostname --fqdn
www.meinweb.at
meinweb control # cat me
mail.meinweb.at
meinweb control # cat defaultdomain
meinweb.at
meinweb control # cat plusdomain
meinweb.at
meinweb control # cat locals
meinweb.at
meinweb control # cat rcpthosts
meinweb.at
mail.meinweb.at

MANX 13.03.2005 22:45
Zitat:
Original geschrieben von Nestrus
vpopmail ist jetzt noch nicht installiert, soll das auch drauf?
Nein, auf gar keinen Fall!

Die control-files schauen gut aus!
Beim Test dürfte folgendes schief gehen, Gentoo setzt vielleicht die Domain auf "yourhost.net" => keine Ahnung, wo Gentoo das reinschreibt /etc/resolv.conf, /etc/hostname ?

Ich fange morgen mit der qmail-ldap Installation nochmals bei Null an (nach kurzer Testphase) => werd natürlich mitdokumentieren (auf Debian sarge).

Grüße

Manx

Nestrus 16.03.2005 15:33
Zitat:
Original geschrieben von MANX
Nein, auf gar keinen Fall!
Hehe, hätte mich auch gewundert...

Ich hab schon auf dem ganzen System nach yourhost.net grepen lassen und nichts gefunden, ich frag mal wegen dem im Gentoo-Forum.

MANX 16.03.2005 17:27
Hi!

Im sample.ldif steht's drin!
http://mirror.hamakor.org.il/pub/mir...s/samples.ldif
Du solltest unbedingt das lesen:
http://www.nrg4u.com/qmail/QLDAPINSTALL

Grüße

Manx

Nestrus 20.03.2005 17:12
Hallo,

bin jetzt etwas weiter gekommen, allerdings hab ich jetzt wieder ein Problem mit SASL.

Hier ist das log:
Code:
tail /var/log/qmail/qmail-send/current
@40000000423d99fe29f7bc7c starting delivery 1163: msg 1212597 to local root@meinweb.at
@40000000423d99fe29f7d7d4 status: local 1/10 remote 1/20
@40000000423d99fe2a8765d4 delivery 1163: deferral: Unable_to_login_into_LDAP_server,_bad_credentials._(#4.4.3)/
@40000000423d99fe2a87812c status: local 0/10 remote 1/20
@40000000423d9dd02e1595a4 delivery 1162: deferral: Connected_to_212.118.243.115_but_connection_died._(#4.4.2)/
@40000000423d9dd02e15b0fc status: local 0/10 remote 0/20
@40000000423d9fdb295abd14 starting delivery 1164: msg 1212666 to local root@meinweb.at
@40000000423d9fdb295ad484 status: local 1/10 remote 0/20
@40000000423d9fdb29ee081c delivery 1164: deferral: Unable_to_login_into_LDAP_server,_bad_credentials._(#4.4.3)/
@40000000423d9fdb29ee1f8c status: local 0/10 remote 0/20
Das ist ja der gleiche Fehler wie dieser hier, oder?
Code:
ldapsearch
SASL/DIGEST-MD5 authentication started
Please enter your password:
ldap_sasl_interactive_bind_s: Internal (implementation specific) error (80)
        additional info: SASL(-13): user not found: no secret in database
Da aber ein ldapsearch -x funktioniert, müsste das doch auch mit qmail funktionieren wenn qmail Simple authentication verwenden würde, aber wie stelle ich das ein?
Oder -was noch besser wäre- kann ich bei LDAP einstellen, dass die simple authentication der Standard ist und nicht über SASL?

MANX 20.03.2005 20:05
Hi!

Kannst Du mit einem LDAP-Browser testen?
Für Linux z.B , GQ oder für Windows der LDAP Browser (der Browser ist free) oder für beide OS, was ich verwende

Wichtig wäre jetzt zum Testen die ACLs in der slapd.conf zu überprüfen, dass Du am Schluss eine ACL hast, die anonymes Lesen im Verzeichnis erlaubt. " ... to * by * read"

Bzw. gibt's in /var/qmail/control die files "ldaplogin" und "ldappasswd" bzw. "ldaprebind"

Manx

Nestrus 23.03.2005 14:31
Zitat:
Original geschrieben von MANX
Hi!

Kannst Du mit einem LDAP-Browser testen?
Für Linux z.B , GQ oder für Windows der LDAP Browser (der Browser ist free) oder für beide OS, was ich verwende
Ich verwende auch den LDAP Browser/Editor, mit hat es immer schon funktioniert, da ist wohl simple bind Standard.
Zitat:
Wichtig wäre jetzt zum Testen die ACLs in der slapd.conf zu überprüfen, dass Du am Schluss eine ACL hast, die anonymes Lesen im Verzeichnis erlaubt. " ... to * by * read"
Die sind glaube ich nicht das Problem, auch wenn ich -da ich das noch nicht nachgelesen hab- nicht genau weiß was die beudeuten.
Ich hänge mal meine slapd.conf an.
Zitat:
Bzw. gibt's in /var/qmail/control die files "ldaplogin" und "ldappasswd" bzw. "ldaprebind"
ldaplogin udn ldappassword stimmen, ldaprebind hab ich vorhin nicht gehabt, jetzt hab ich es auf 1 was aber auch nicht hilft.

Interresant ist, dass wenn ich eine mail schreiben will in der /var/log/qmail/qmail-send/current für jedes mail
Code:
@400000004240e5be15a494ac starting delivery 521: msg 1212592 to local root@meinweb.at
@400000004240e5be15a4a834 status: local 1/10 remote 0/20
@400000004240e5be1632f9cc delivery 521: deferral: Unable_to_login_into_LDAP_server,_bad_credentials._(#4.4.3)/
@400000004240e5be1633113c status: local 0/10 remote 0/20
steht, in /var/log/messages steht:
Code:
Mar 23 03:42:44 meinweb slapd[279]: conn=349 fd=12 ACCEPT from IP=127.0.0.1:55710 (IP=0.0.0.0:389)
Mar 23 03:42:44 meinweb slapd[21167]: conn=349 op=0 BIND dn="cn=Manager,dc=meineb,dc=at" method=128
Mar 23 03:42:44 meinweb slapd[21167]: conn=349 op=0 RESULT tag=97 err=49 text=
Mar 23 03:42:44 meinweb slapd[21167]: conn=349 op=1 UNBIND
Mar 23 03:42:44 meinweb slapd[21167]: conn=349 fd=12 closed
Es schaut also so aus, als ob der bind korrekt abläuft, aber qmail geht trozdem nicht, ich bin immer verwirrter...

MANX 23.03.2005 15:21
Hi!

Ich hab meine Kiste mittlerweile mit den Grundfeatures wieder "up and running"!

Grundfeatures:
qmail-ldap mit "smtp-auth" und "SSL/TLS required"
pop3s
imap4s
squirrelmail

fehlen tut noch:
spamassassin, virenscan, proxy, vpn, iptables, ...

Ich binde qmail-ldap anonym an's directory, nur die Passwörter sind geschützt und nur durch den Mail-User selber bzw. von Admin lesbar, deshalb brauch ich ldaprebind auf "1".

Was mir noch einfallen würde, passt in den control files "ldapbasedn"
Sollte bei Dir dc=meineb,dc=at beinhalten.

Ein ls -al in meinem control-Verzeichnis:
Code:
root@gateway:/var/qmail/control# ll
insgesamt 104
drwxr-xr-x  2 root  qmail 4096 2005-03-23 15:21 .
drwxr-xr-x  12 root  qmail 4096 2005-03-21 10:58 ..
-rw-r-----  1 qmaild qmail 1953 2005-03-21 15:51 cert.pem
-rw-r--r--  1 root  root    11 2005-03-21 10:29 defaultdelivery
-rw-r--r--  1 root  root    26 2005-03-21 10:31 ldapbasedn
-rw-r--r--  1 root  root    5 2005-03-21 10:37 ldapgid
-rw-r--r--  1 root  root    10 2005-03-21 10:32 ldapobjectclass
-rw-r--r--  1 root  root    2 2005-03-21 11:43 ldaprebind
-rw-r--r--  1 root  root    10 2005-03-21 10:30 ldapserver
-rw-r--r--  1 root  root    5 2005-03-21 10:37 ldapuid
-rw-r--r--  1 root  root    39 2005-03-21 10:42 locals
-rw-r--r--  1 root  root  2133 2005-03-21 11:24 locals.cdb
-rw-r--r--  1 root  qmail 2449 2005-03-18 21:58 Makefile
-rw-r--r--  1 root  root    22 2005-03-21 10:26 me
-rw-r--r--  1 root  root  2189 2005-03-22 19:45 qmail-imapd.cdb
-rw-r--r--  1 root  qmail  267 2005-03-22 19:45 qmail-imapd.rules
-rw-r--r--  1 root  root  2138 2005-03-22 10:03 qmail-pop3d.cdb
-rw-r--r--  1 root  qmail  246 2005-03-22 10:03 qmail-pop3d.rules
-rw-r--r--  1 root  root  2074 2005-03-21 11:24 qmail-qmqpd.cdb
-rw-r--r--  1 root  qmail  330 2005-03-18 21:58 qmail-qmqpd.rules
-rw-r--r--  1 root  root  2168 2005-03-22 10:31 qmail-smtpd.cdb
-rw-r--r--  1 root  qmail 1617 2005-03-22 10:31 qmail-smtpd.rules
-rw-r--r--  1 root  root    39 2005-03-21 10:43 rcpthosts
-rw-r--r--  1 root  root  2133 2005-03-21 11:24 rcpthosts.cdb
-rw-r--r--  1 root  qmail 2131 2005-03-18 21:58 signatures
-rw-r--r--  1 root  root    17 2005-03-21 18:02 smtpcert
Grüße

Manx

Nestrus 23.03.2005 15:45
Der baseDN sollte passen. (dc=meinweb,dc=at) bzw soll es mal (ou=user,dc=meinweb,dc=at) werden, aber zu Testzwecken hab ich auch sozusagen im Wurzelverzeichnis posixAccounts gemacht, aber so weit kommt qmail ja noch gar nicht.

Bei mir schaut das ziemlich anders aus:
Code:
meinweb control # ls -al
total 112
drwxr-xr-x  2 qmaill qmail 4096 Mar 23 14:39 .
drwxr-xr-x  10 root  root  4096 Mar  7 13:09 ..
-rw-r--r--  1 root  root    17 Mar  7 19:26 1
-rw-r--r--  1 root  root  1163 Mar  4 17:01 conf-common
-rw-r--r--  1 root  root  1136 Mar  4 17:01 conf-pop3d
-rw-r--r--  1 root  root  531 Mar  4 17:01 conf-qmqpd
-rw-r--r--  1 root  root  623 Mar  4 17:01 conf-qmtpd
-rw-r--r--  1 root  root  1805 Mar  4 17:01 conf-smtpd
-rw-r--r--  1 root  root    82 Mar  4 17:01 defaultdelivery
-rw-r--r--  1 root  root    11 Mar  8 00:41 defaultdomain
-rw-r--r--  1 root  root    11 Mar 16 19:54 defaulthost
-rw-r--r--  1 root  root    24 Mar  4 17:01 dirmaker
-rw-r--r--  1 root  root    26 Mar 23 14:39 ldapbasedn
-rw-r--r--  1 root  root    4 Mar  7 17:25 ldapgid
-rw-r--r--  1 root  root    2 Mar  4 17:01 ldaplocaldelivery
-rw-r--r--  1 root  root    27 Mar  7 19:27 ldaplogin
-rw-r--r--  1 root  root    21 Mar  4 17:01 ldapmessagestore
-rw-r--r--  1 root  root    10 Mar  7 19:29 ldapobjectclass
-rw-------  1 qmaild root    7 Mar  7 19:28 ldappassword
-rw-r--r--  1 root  root    2 Mar 22 17:12 ldaprebind
-rw-r--r--  1 root  root    20 Mar  7 19:27 ldapserver
-rw-r--r--  1 root  root    4 Mar  7 17:24 ldapuid
-rw-r--r--  1 root  root    11 Mar  8 00:41 locals
-rw-r--r--  1 root  root    16 Mar  7 17:46 me
-rw-r--r--  1 root  root    11 Mar  8 00:41 plusdomain
-rw-r--r--  1 root  root    27 Mar  7 19:23 rcpthosts
-rw-------  1 qmaild qmail  497 Mar 23 03:10 rsa512.pem
-rw-r--r--  1 root  root  1108 Mar  8 00:39 servercert.cnf
Fehlt da was wichtiges?

MANX 23.03.2005 15:59
... das sollte schon passen, leider gibt's sehr viele verschiedene Möglichkeiten qmail-ldap zu installieren bzw. zu konfigurieren und auch zu starten.

z.B die Sachen mit den ENVIRONMENT-Variablen kann man auf verschiedene Weise angehen.
Ich mach's über tcpserver.cdb files (daher die qmail-smtpd.cdb usw) mit dem mitgelieferten Makefile im control Verzeichnis.

BTW: Vielleicht ein Typo?
Code:
Mar 23 03:42:44 meinweb slapd[21167]: conn=349 op=0 BIND dn="cn=Manager,dc=meineb,dc=at" method=128
Manx

Nestrus 24.03.2005 15:20
Hab den Rechtschreibfehler ausgebessert, brachte aber auch nichts.

Hast du qmail von Hand kompliliert? Und hast du es -wie angekündigt- dokumentiert?
Weil wenn ja, denn bitte ich dich um deine "Anleitung" dann versuche ich es noch einmal so, sonst fällt mir jetzt nur noch ein es mal mit Postfix o.ä. zu probieren, da ich nicht so viel Zeit damit verschwenden kann...

MANX 24.03.2005 17:58
Hi!

Ja, von Hand kompiliert ;)
Ja, mitdokumentiert :D

Schick mir Deine Email-Adresse als PN.

Vielleicht hilft's ein wenig.

Grüße

Manx

MANX 25.03.2005 20:31
Hi!

Ich hoffe die Mail ist angekommen.
Was ich noch vergessen habe.

Für SMTP-Authentifizierung:

In order for qmail-smtpd to support this functionality, its run script will have to be adjusted to include the auth_smtp program. Open the file /var/qmail/boot/qmail-smtpd/run in your editor and adjust the last line in the file as follows:

From this:

/var/qmail/bin/qmail-smtpd

To this:

/var/qmail/bin/qmail-smtpd /var/qmail/bin/auth_smtp /usr/bin/true

Manx

Nestrus 26.03.2005 09:56
Ja, die mail ist angekommen, hab aber wohl erst am MO wieder Zeit...


Alle Zeitangaben in WEZ +2. Es ist jetzt 16:33 Uhr.

Powered by vBulletin® Copyright ©2000 - 2025, Jelsoft Enterprises Ltd.
© 2009 FSL Verlag