OpenLDAP作为Active Directory只读代理启用SSL连接失败排查求助

我来帮你搞定这个OpenLDAP代理的SSL连接问题——既然你已经能在代理服务器上用ldapsearch通过TLS正常查询AD，说明系统层面的CA信任是没问题的，问题肯定出在OpenLDAP代理（也就是slapd服务）自身的TLS配置或者后端AD连接的参数上。下面是一步步的排查和配置方案：

1. 确认OpenLDAP代理的全局TLS配置 #

即使系统已经信任了CA证书，slapd服务不一定会自动继承系统的信任池，需要明确指定它要使用的CA证书路径。

如果你用slapd.conf静态配置： #

在配置文件中添加全局TLS参数：

# 全局TLS基础配置
TLSCACertificateFile /etc/pki/tls/certs/your-ca-root.pem
# 可选：如果AD需要验证代理的身份，添加代理自身的证书和密钥
# TLSCertificateFile /etc/pki/tls/certs/openldap-proxy-cert.pem
# TLSCertificateKeyFile /etc/pki/tls/private/openldap-proxy-key.pem

如果你用cn=config动态配置（CentOS7更推荐这种方式）： #

创建一个TLS配置的ldif文件（比如tls-config.ldif）：

dn: cn=config
changetype: modify
replace: olcTLSCACertificateFile
olcTLSCACertificateFile: /etc/pki/tls/certs/your-ca-root.pem

# 可选：添加代理证书配置
# replace: olcTLSCertificateFile
# olcTLSCertificateFile: /etc/pki/tls/certs/openldap-proxy-cert.pem
# replace: olcTLSCertificateKeyFile
# olcTLSCertificateKeyFile: /etc/pki/tls/private/openldap-proxy-key.pem

然后执行配置更新：

ldapmodify -Y EXTERNAL -H ldapi:/// -f tls-config.ldif

2. 检查后端AD连接的配置 #

确保代理指向AD的后端配置正确使用了ldaps://协议，并且验证参数设置合理。

静态配置（slapd.conf）： #

找到你的LDAP后端配置块，调整如下：

database ldap
suffix "dc=your-internal-domain,dc=com"
# 关键：使用ldaps协议和AD的636端口
uri ldaps://ad-domain-controller-ip:636
readonly on
# 可选：如果AD需要绑定账户查询，添加绑定DN和密码
# binddn "cn=proxy-service-account,cn=users,dc=your-internal-domain,dc=com"
# bindpw "your-service-account-password"
# 验证策略：生产环境推荐用demand，测试可以用try
tls verify demand

动态配置（cn=config）： #

创建后端配置的ldif文件（比如ad-backend-config.ldif）：

dn: olcDatabase={1}ldap,cn=config
changetype: modify
replace: olcUri
olcUri: ldaps://ad-domain-controller-ip:636

# 可选：添加绑定账户信息
# replace: olcBindDN
# olcBindDN: cn=proxy-service-account,cn=users,dc=your-internal-domain,dc=com
# replace: olcBindPW
# olcBindPW: your-service-account-password

replace: olcTLSVerifyClient
olcTLSVerifyClient: demand

执行更新：

ldapmodify -Y EXTERNAL -H ldapi:/// -f ad-backend-config.ldif

3. 查看slapd日志定位具体错误 #

CentOS7上slapd的日志默认在/var/log/messages或/var/log/slapd.log（如果单独配置了日志路径），重启服务后观察日志，能精准定位问题：

systemctl restart slapd
tail -f /var/log/messages | grep slapd

常见的错误类型：

• 证书读取失败：检查证书文件的权限，确保ldap用户有读取权限
• 主机名不匹配：AD证书的CN/SAN和你配置的AD主机名不一致，需要统一两者，或者临时设置tls verify never（不推荐生产环境）
• 连接超时：确认AD的636端口在代理服务器上是可访问的（你已经能用ldapsearch连接，大概率没问题）

4. 验证代理的SSL连接 #

配置完成后，用ldapsearch直接测试代理的SSL端口：

ldapsearch -H ldaps://your-openldap-proxy:636 -x -b "dc=your-internal-domain,dc=com" "(objectClass=user)"

如果能正常返回AD的用户数据，说明配置成功。

5. 额外注意事项 #

• 确保证书文件权限正确：

chown ldap:ldap /etc/pki/tls/certs/your-ca-root.pem
chmod 644 /etc/pki/tls/certs/your-ca-root.pem

• 如果你的OpenLDAP用的是NSS证书数据库（CentOS7默认可能是这样），需要把CA证书导入到NSS库：

certutil -d /etc/openldap/certs -A -n "Internal CA Root" -t "CT,C,C" -i /etc/pki/tls/certs/your-ca-root.pem

然后在配置中指定证书路径：

TLSCACertificatePath /etc/openldap/certs

或者在cn=config中设置olcTLSCACertificatePath: /etc/openldap/certs

内容的提问来源于stack exchange，提问作者Hakujou