linux服务器tls配置,OpenLDAP配置TLS加密传输

最新推荐文章于 2024-12-02 09:45:47 发布
转载 最新推荐文章于 2024-12-02 09:45:47 发布 · 1.1k 阅读 · 0
文章标签：

#linux服务器tls配置

本文档介绍了如何在基于CentOS 7的服务器上配置OpenLDAP的TLS加密传输。首先确保安装了openssl相关依赖，并在安装OpenLDAP前安装它们。接着，配置iptables以开放636端口。然后，创建并签署CA根证书，生成OpenLDAP服务器的私钥和证书请求。使用CA中心签署证书，并将相关证书和密钥复制到OpenLDAP配置目录。最后，修改slapd.conf配置文件并启动LDAPS服务。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一．环境

Server：基于CentOS-7-x86_64-1511

Server IP: 172.18.12.203

OpenLDAP：openldap-2.4.44已安装

二．准备工作

1. 依赖包

#理论上只需要openssl与openssl-devel

yum install *openssl* -y

openldap编译需要开启"--with-tls"选项，可通过"./configure --help"查看相关说明，请参考：http://www.linuxidc.com/Linux/2017-10/147559.htm；

openssl相关依赖包一定要安装在openldap安装之前，在openldap安装之后再yum安装openssl相关依赖包，运行ldaps命令时时报" 573d212b daemon:TLS not supported (ldaps://0.0.0.0:636/)"错(如下图)，安装openssl相关包之后重新编译安装openldap解决。

6774c64a3197d3ca0b7fc63e929d2684.png

可以使用"/usr/local/openldap-2.4.44/libexec/slapd"命令查看执行命令是否关联相应libraries，上面就是通过此方法定位故障点的：http://comments.gmane.org/gmane.network.openldap.technical/874

2. iptables

OpenLDAP with TLS/SSL默认使用tcp 636端口，提前在iptables放行。

三．配置TLS

在OpenLDAP的home目录创建1个子目录，后续操作均在此目录进行

[root@localhost~]#cd /usr/local/openldap-2.4.44

[root@localhost openldap-2.4.44]#mkdir -p certs

[root@localhost openldap-2.4.44]#cd certs/

1. CA中心操作(如已有CA证书则跳过)

生成CA根密钥(1)

#带上”-des3”参数时，创建的私钥采取Triple DES算法加密，命令执行后会要求输入密码，这样后续在调用此密钥时都会要求输入密码，如 “openssl genrsa -des3 -out ca-key.pem 2048”，这里为了方便省略此参数

[root@localhost certs]#openssl genrsa -out cakey.pem 2048

#可以查看生成的rsa 私钥

[root@localhost certs]#openssl rsa -noout -text -in cakey.pem

#option选项，基于安全性考虑，建议修改根密钥权限为600或400

[root@localhost certs]#chmod 600 cakey.pem

生成CA根证书(2)

#利用req命令与CA根证书生成自签署的根证书，证书有效期1年；#生成证书时，上方红色粗体字部分是要求输入的信息，其中需要注意的是”Common Name”请填写服务器域或IP

[root@localhost certs]#openssl req -new -x509 -days 365 -key cakey.pem -out ca.crt

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enteris what is called a Distinguished Name ora DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter'.', the field will be left blank.-----Country Name (2letter code) [XX]:CN

StateorProvince Name (full name) []:Sichuan

Locality Name (eg, city) [Default City]:Chengdu

Organization Name (eg, company) [Default Company Ltd]:SYS

Organizational Unit Name (eg, section) []:IT

Common Name (eg, your nameor your server's hostname) []:172.18.12.203

Email Address []:xxx@sys.com#可以查看生成的根证书

[root@localhost certs]#openssl x509 -noout -text -in ca.crt

2. OpenLDAP服务器端操作

生成OpenLDAP服务器私钥(3)

#同上，可带"-des3"参数，同步骤(1)

[root@localhost certs]#openssl genrsa -out ldapkey.pem 2048

生成OpenLDAP服务器证书签署请求文件(4)

#请求文件需要发给CA中心签署生成证书，相当于公钥；#同步骤(2)会要求输入一些信息，相对于步骤(2)额外的信息可忽略

[root@localhost certs]#openssl req -new -key ldapkey.pem -out ldapserver.csr

#查看请求文件

[root@localhost certs]#openssl req -noout -text -in ldapserver.csr

3. CA中心签署证书

签署证书的准备工作 (5)

#如果CA中心准备工作已经做好，此步可跳过。

[root@localhost certs]#cp /etc/pki/tls/openssl.cnf ./

[root@localhost certs]#mkdir -p newcerts

[root@localhost certs]#touch index.txt

[root@localhost certs]#echo "00" > serial

#修改第42行，证书生成配置文件的工作目录”dir =/etc/pki/CA”修改为当前配置文件工作的目录，如下：

[root@localhost certs]#vim openssl.cnf

42 dir = /usr/local/openldap-2.4.44/certs

签署证书(6)

#需要将OpenLDAP服务器生成的csr请求文件发给CA中；#生成证书会有两次确认，”y”即可;#如果重新签署证书，需要先将index.txt的内容用index.txt.old还原

[root@localhost certs]#openssl ca -days 365 -cert ca.crt -keyfile cakey.pem -in ldapserver.csr -out ldapserver.crt -config openssl.cnf

4. 复制证书/密钥到工作目录(7)

#主要涉及CA中心的证书，CA中心为OpenLDAP服务器签署的证书与私钥

[root@localhost certs]#mkdir -p /usr/local/openldap-2.4.44/etc/openldap/cacerts

[root@localhost certs]#cp ca.crt /usr/local/openldap-2.4.44/etc/openldap/cacerts

[root@localhost certs]#cp ldapserver.crt /usr/local/openldap-2.4.44/etc/openldap/

[root@localhost certs]#cp ldapkey.pem /usr/local/openldap-2.4.44/etc/openldap/

5. 修改OpenLDAP主配置文件slapd.conf(8)

#可以在文件最后添加步骤(7)中证书/密钥的工作路径

[root@localhost certs]#cd /usr/local/openldap-2.4.44/etc/openldap/

[root@localhost openldap]#vim slapd.confTLSCACertificateFile /usr/local/openldap-2.4.44/etc/openldap/cacerts/ca.crt

TLSCertificateFile /usr/local/openldap-2.4.44/etc/openldap/ldapserver.crt

TLSCertificateKeyFile /usr/local/openldap-2.4.44/etc/openldap/ldapkey.pem

6. 启动LDAPS

#”-d 256”是为debug，后台运行不需要；

[root@localhost ~]#/usr/local/openldap-2.4.44/libexec/slapd -h “ldaps://0.0.0.0:636/” -d 256

#或者：[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -h “ldaps:///” -d 256

#或者同时启动389与636端口：[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -h “ldap:/// ldaps:///” -d 256

090b3179414b1e3dcfe00f0a1d64883c.png

7. 启动验证

[root@localhost ~]#netstat –tunlp

14a6ba87cdf8e5c5cc10149b1ab28760.png

8. 通过ldapdmin验证

1) 修改已通过389端口可访问数据库的属性：数据库名，右键-->Properties；

1675c384619776a4023437641ae7e3ff.png

2) 修改389端口为636端口；

8fab5719b8fc178b59eaa7145f60fa2f.png

3) 弹出窗口提示，选择" View Certificate"，点击"Yes"；

e038a8f3ef54b09ea83b0e5920112afc.png

4) 可以查看证书相关信息，选择"安装证书"，一路默认"下一步"；

7d49416e6a4e8128a0941c7fd1e48f05.png

5) 证书导入成功；

aa56d5debd5ca0ecd67baf59f790dfc5.png

6) 通过636端口已可以访问数据库。

884e856158c2ee51afc604d60760e285.png

参考文档：

Axigen+OpenLDAP+BerkeleyDB+ejabberd多域+JWchat详细配置 http://www.linuxidc.com/Linux/2012-06/61598.htm

OpenLDAP 的详细介绍：请点这里

OpenLDAP 的下载地址：请点这里

0b1331709591d260c1c78e86d0c51c18.png

Openldap配置TLS加密传输
10-31
文档内容： 1、为啥要用TLS? 2、SSL/TLS 加密原理简介； 3、Openldap配置TLS加密传输步骤； 4、ldapclient客户端测试；
OpenLDAP配置TLS加密传输
weixin_30764137的博客
09-13 476
原文发表于cu：2016-07-04 参考文档： 基于OpenSSL自建CA与颁发SSL证书：http://seanlook.com/2015/01/18/openssl-self-sign-ca/ OpenLDAP with TLS：http://my.oschina.net/aiguozhe/blog/151554 http://seanlook.com/2015/01/21...
Linux中web服务器的TLS 协议搭建
学习日常分享
06-20 3296
一 1、网络传输安全： 我们需要加密网络数据以实现安全通信，但是有一个现实的问题： 1.非对称加密算法（RSA/ECC 等）可以方便地对数据进行签名/验证，但是计算速度慢。 2.对称加密算法（ChaCha20/AES 等）计算速度快，强度高，但是无法安全地生成与保管密钥。 TLS 通过两个证书来实现服务端身份验证，以及对称密钥的安全生成： 1.CA 证书：浏览器/操作系统自带，用于验证服务端的 TLS 证书的签名。保证服务端证书可信。 2.TLS 证书：使用 CA 证书验证了 TLS 证书可信后，将使用这个
Linux中TLS
weixin_34082789的博客
07-03 1349
TLS（Thread Local Storage） 线程局部存储。 在Linux操作系统中，TLS保存成GDT中描述的一个段。 1: /* 2: * This creates a new process as a copy of the old one, 3: * but does not actually start it yet. 4: * 5: * I...
Openldap配置TLS加密传输（完整版——手动配置）
热门推荐
杰儿__er 的博客
05-30 1万+
为啥要用TLS?Openldap默认使用简单验证，对slapd的所有访问都使用明文密码通过未加密通道进行。为了确保信息安全，需要对信息进行加密传输，SSL（Secure Sockets Layer）是一个可靠的解决方案。它使用 X.509 证书，由可信任第三方（Certificate Authority (CA)）进行数字签名的一个标准格式的数据。有效的数字签名意味着已签名的数据没有被篡改。如果签...
OpenLDAP TLS加密传输配置指南（附完整shell脚本）
将这些脚本放置在特定目录（客户端在/root/workspace/clildapTls，服务器端在/root/workspace/serldapTls）下，并执行相应的脚本，可以自动化地配置OpenLDAP的TLS加密传输。 6. OpenLDAP TLS配置的注意事项 配置...
code__openLdapTlsOpenldap配置TLS加密传输（完整版——shell脚本实现[分别在客户端与服务器端执行脚本，实现TLS加密]）
07-05
客户端 注意事项： 脚本必须放在/root/workspace/clildapTls目录下...服务器端 注意事项： 脚本必须放在/root/workspace/serldapTls目录下： 需要已经配置好的以下文件： CA.crt ldapsrv02.crt ldapsrv02.key
OpenLDAP客户端TLS加密配置简易指南（附完整shell脚本）
在OpenLDAP环境中配置TLS加密传输可以有效保护目录服务的数据传输，防止敏感信息被截获或篡改。 #### TLS加密传输配置步骤概览 1. 生成证书颁发机构（CA）的公私钥对。 2. 使用CA证书为OpenLDAP服务器颁发服务器...
code__openLdapTlsExpectOpenldap配置TLS加密传输（完整版——shell脚本实现[即在客户端执行代码，即可实现TLS加密]）
07-05
客户端 注意事项： 脚本必须放在/root/workspace/clildapTls目录下...服务器端 注意事项： 脚本必须放在/root/workspace/serldapTls目录下： 需要已经配置好的以下文件： CA.crt ldapsrv02.crt ldapsrv02.key
Linux中的TLS/SSL配置与故障排除
最新发布
2401_86544677的博客
12-02 1931
是一种广泛应用于互联网通信的安全协议，在Linux系统中扮演着关键角色。它的主要功能是保护Web应用和服务器之间的数据交换，确保信息的私密性和完整性。
配置OpenLDAP使用TLS通讯
06-29
配置OpenLDAP使用TLS通讯,内容丰富，总结全面
linux TLS
xiaocaichonga的专栏
08-13 688
TLS  即线程局部存储 作用就是：一些变量在一个线程中是全局的且归该线程独自所有，其他线程无法共享。 参考文献：http://baike.baidu.com/view/598128.htm http://topic.csdn.net/t/20030226/12/1467829.html
Openldap开启TLS
Swordfall的博客
04-20 2849
1. 概述 　　为啥要用TLS? 　　Openldap默认使用简单验证，对slapd的所有访问都使用明文密码通过未加密通道进行。为了确保信息安全，需要对信息进行加密传输，SSL(Secure Sockets Layer)是一个可靠的解决方案。 　　它使用X.509证书，由可信任第三方(Certificate Authority(CA))进行数字签名的一个标准格式的数据。有效的数字签名意味着已签名...
09-OpenLDAP加密传输配置
weixin_34081595的博客
06-09 846
OpenLDAP加密传输配置(CA服务器与openldap服务器异机) 阅读视图 环境准备 CA证书服务器搭建 OpenLDAP服务端与CA集成 OpenLDAP客户端配置 客户端测试验证 故障处理 1. 环境准备 服务器规划 主机 系统版本 IP地址 主机名 时间同步 防火墙 SElinux ldap服务端 Centos 6.9最小化安装 192.168.244.17 ...
linux中线程局部存储(TLS)
zhaoyangwyyx的博客
11-25 574
我们知道术语每个线程私有的数据包括线程的栈和当前的寄存器，但时这两种存储都是非常不可靠的，栈会在每个函数退出和进入的时候被改变；如果我们要在线程中使用一个全局变量，但希望这个全局变量时线程私有得，而不是所以线程共享得，该怎么办呢？TLS得用法很简单，如果要定义一个全局变量TLS类型得，只需要在它签名加上相应得关键字即可。一旦一个全局变量被定义成TLS类型得，那么每个线程都会拥有这个变量得一个副本，任何线程对该变量得修改都不会影响其他线程中该变量得副本。可见地址都不一样，线程之间相互不影响。
Linux TLS - pthread_setspcific
fanbird2008的专栏
02-19 459
下面说一下线程中特有的线程存储， Thread Specific Data 。线程存储有什么用了？ 大家都知道，在多线程程序中，所有线程共享程序中的变量。现在有一全局变量，所有线程都可以使用它，改变它的值。 而如果每个线程希望能单独拥有它，那么就需要使用线程存储了。表面上看来这是一个全局变量，所有线程都可以使用它， 而它的值在每一个线程中又是单独存储的。这就是线程存储的意义。 下面说一
linux中的线程局部存储（TLS）实现线程间的同步和互斥pthread_key_create、pthread_setspecific、pthread_getspecific
weixin_74128452的博客
02-21 1650
由于线程局部存储是基于操作系统的特性，因此它可能会受到操作系统实现的影响。不同的操作系统可能会有不同的线程局部存储实现和限制。
Ser/OpenSer(Linux下安装过程及一些配置说明)--支持TLS
zysee的专栏
04-05 5069
　　SIP快速路由器（SER）严格遵守SIP标准。它用C语言编写，采用GPL许可证发行，已被移植到Linux和Solaris上。除了充当SIP服务器外，SER还可以为短消息服务（SMS）、即时通信（IM）、RADIUS记账和授权以及基于Web的用户配置充当网关。基于SER的商用产品可从iptelorg购得。可启动的LiveCD版软件也可以获得，它扩展了SER的功能，添加了用起来方便得多的基于Web
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值