1 Тема от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Собственно вопрос прост: как настроить синхронизацию паролей,пользователей и групп между 389-DS и AD&? :o

389-ds версии 1.1.3
AD установлена на Win 2003.

Пробывал настроить по официальной документации - не работает.
Ссылки которые проверял : http://directory.fedoraproject.org/wiki … indowsSync + документация Red Hat.

Ошибка:

07/29/10 11:18:58: PassSync service initialized
07/29/10 11:18:58: PassSync service running
07/29/10 11:18:59: No entries yet
07/29/10 11:19:20: Ldap bind error in Connect
    91: Can't connect to the LDAP server
07/29/10 11:19:20: Can not connect to ldap server in SyncPasswords
07/29/10 11:26:36: No entries yet
07/29/10 11:26:57: Ldap bind error in Connect
    91: Can't connect to the LDAP server
07/29/10 11:26:57: Can not connect to ldap server in SyncPasswords
с8

2 Ответ от i2ks

  • i2ks
  • Участник Форума
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,983
  • Репутация : [ 101 | 1 ]

порт 389 слушается?

It is good day to die ...
MS Windows 10
Заметки о главном...

3 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

все порты слушаются

4 Ответ от i2ks

  • i2ks
  • Участник Форума
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,983
  • Репутация : [ 101 | 1 ]

netstat -an | grep 636 или netstat-an | grep 389  покажите
В AD SSL включен?  проверить сможете? есть ли конект, работает ли поиск по ldap? 
Чуток порылся и вот на что наткнулся

It is good day to die ...
MS Windows 10
Заметки о главном...

5 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

проверяю ваш ман...
пока при использование всех видов документации ,результат на netstat одинаковый...

netstat -an | grep 636
tcp        0      0 :::636                      :::*                        LISTEN

netstat -an | grep 389
tcp        0      0 :::389                      :::*                        LISTEN

6 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

Ещё один мануал — http://www.linuxjournal.com/article/9517

Был, был и весь вышел...

7 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Спасибо,но вариант использования 389-console не подходит,но я его всё равно проверю и отпишусь о результатах wink

8 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

везде возникает ошибка ldap'a 91.как я понимаю проблема в сертификатах... ac

9 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Проблема решена при использование консоли службы каталогов. Сертификаты созданые с помощью certutils не импортировались на AD, а сертификаты с AD не импортировались в slapd-instance-  :o

10 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

Проблема решена при использование консоли службы каталогов. Сертификаты созданые с помощью certutils не импортировались на AD, а сертификаты с AD не импортировались в slapd-instance-  :o

тема старая но все же
не могли бы конкретней рассказать как решили данный вопрос , а то сижу уже второй день с этой проблемой ac

11 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Shin0bi, все действия согласно докам http://directory.fedoraproject.org/wiki … indowsSync. Но надо учитывать, что версий PassSync много, и надо все попробовать. Так же смотреть, что бы время было одинаковое.

Здесь я использовал консольку 389DS, которая вызывается, если памать не подводит: 

389-console

И в ней в просто экспорт/импорт сертификатов. Так же следует проверить параметры подключения.

12 Ответ от Shin0bi (02.07.2014 16:31:28 отредактировано Shin0bi)

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

да я понял
вот инструкция по которой я делал
http://www.overclockers.com/forums/show … p?t=709625

Сам лдап до включении SSL и выбора сертификата работает без проблем
после перезагрузки 389ds проподает связь с сервером по 389 порту, 636 порт не включается  и сам лдап не запускается говоря следующее.  

[02/Jul/2014:15:46:18 +0400] - SSL alert: Security Initialization: Unable to authenticate (Netscape Portable Runtime error -8177 - The security password entered is incorrect.)
[02/Jul/2014:15:46:18 +0400] - ERROR: SSL Initialization Failed.

13 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

а 636 порт? 389-это без SSL, а 636 с SSL.

14 Ответ от Shin0bi (02.07.2014 16:35:43 отредактировано Shin0bi)

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

а 636 порт? 389-это без SSL, а 636 с SSL.

я понимаю что 389 без SSL а 636 с SSL

при установке по 389 по умолчанию и дефолту запускается только 389

15 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Shin0bi, так по 636 можно достучаться до каталога?

16 Ответ от Shin0bi (02.07.2014 16:42:08 отредактировано Shin0bi)

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

Shin0bi, так по 636 можно достучаться до каталога?

нет
после включения SSL и выбора сертификата, 389DS больше не запускается и сидит в дауне
вот картинка как это выглядит
http://i57.photobucket.com/albums/g239/ … tting1.png

Сейчас восстанавливаю бэкап ВМ и ставлю все по дефолту, все работает прекрасно и репликация пользователей идет. А вот с паролями какая то засада.

17 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

thexf, попробуйте посмотреть статус через 

/etc/init.d/dirsrv status

И логи.
Как вариант отключить сертификаты и пересоздать. Сталкивался с таким же, помогло только это.

18 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

thexf, попробуйте посмотреть статус через 

/etc/init.d/dirsrv status

И логи.
Как вариант отключить сертификаты и пересоздать. Сталкивался с таким же, помогло только это.

Сейчас вернул все в рабочее состояние без сертификатов лишь с репликацией с АД без реплики паролей.

19 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

формат экспорта тоже важен, по-моему нужен DER

20 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

формат экспорта тоже важен, по-моему нужен DER

да импорт проходит без проблем только особо это ничего не дает

21 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Shin0bi, пришлите email, я скину скрипты автоматической настройки всего этого дела

22 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

Shin0bi, пришлите email, я скину скрипты автоматической настройки всего этого дела

отправил в личку  ab

23 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Shin0bi, всё отправил

24 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

Shin0bi, всё отправил

Спасибо получил
сейчас буду запускать )

25 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

запускать его все равно откуда?

26 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Shin0bi, вопрос интересный ab ... Скорее всего да.

27 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

Shin0bi, вопрос интересный ab ... Скорее всего да.

так все запустилось O_O
порт 389 есть 636 есть
сейчас теперь попробую в АД всунуть и проверить
пока что скриптик меня впечатлил ))

28 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

так 2008 не съедает говорит что то с декодом (

Enter Password or Pin for "NSS Certificate DB":
Enter password for PKCS12 file:
pk12util.exe: PKCS12 decode not verified: The security password entered is incorrect.

Хотя он точно коррект

29 Ответ от thexf

  • thexf
  • thexf
  • Новичок
  • Неактивен
  • Откуда: SPb
  • Зарегистрирован: 29.07.2010
  • Сообщений: 75
  • Репутация : [ 0 | 0 ]

Пароль из pwdfile.txt не подходит? может кодировка?

30 Ответ от Shin0bi

  • Shin0bi
  • Shin0bi
  • Новичок
  • Неактивен
  • Зарегистрирован: 02.07.2014
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
thexf пишет:

Пароль из pwdfile.txt не подходит? может кодировка?

кодировка скорей всего
только не пойму как поменять или что поменять