提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

基础排查-步骤二:检查LDAP认证设置配置是否正确

|

问题描述

检查LDAP认证设置配置是否正确
1、检查LDAP管理员用户名密码是否配置正确
2、检查LDAP搜索入口是否正确
3、检查LDAP服务器类型是否正确
4、检查LDAP用户属性是否配置正确
5、检查LDAP用户过滤规则是否配置正确

有效排查步骤

1、检查LDAP管理员用户名密码是否配置正确
①管理员全路径错误,通常容易错的DN的格式
微软AD域服务器正常的是
cn=administrator,cn=Users,dc=leijia,dc=sangfor,dc=com或者 administrator@leijia.sangfor.com
AD域服务器可以两种方式都尝试写一下看看,第一种容易错,第二种相对较简单
其他LDAP服务器需要客户提供,如果客户提供错误那只能是错误的了,最好是找到客户那边正常的配置对比,尤其注意大小写是否错误


②通过ldapbrowser等工具验证客户提供的管理员账号密码是否正确
第三方工具测试密码错误,则说明客户提供的账号确实有问题,需要客户配合提供正确的管理员账号密码


ps:管理员账号错误只会在首次认证时影响认证,第一次账号密码配置正确之后,后续如果密码错了,不会影响用户认证,只要搜索入口正确就是可以认证成功的

2、检查LDAP搜索入口是否正确
LDAP搜索入口如果配置错误,认证时用户不在搜索入口范围内就会导致用户认证失败
如果选择根组作为搜索入口之后认证成功,而原本的搜索入口配置下认证失败,则说明是搜索入口配置错误,之前配置的搜索入口下不存在认证失败的用户
可进一步在LDAP服务器上搜索该用户,检查用户具体在哪个OU下,针对客户需求,合理配置搜索入口
另外搜索入口尽量不要去手写(防止写错),直接点击读取对应的组织架构即可


3、检查LDAP服务器类型是否正确
LDAP服务器类型必须选择对应的,如果选择错误则设备去LDAP服务器认证时的查询参数都会是错的,最终导致认证失败。
因此在出现问题时都要多问客户一句,服务器是微软AD域,还是其他LDAP服务器
微软的LDAP就选择默认的MS ActiveDirectory;sun ldap或者Openldap等其他标准LDAP服务器选择LDAP Sserver。MS ActiveDirectory VPN用不到,不要选择即可。


4、检查LDAP用户属性是否配置正确
微软AD域服务器用户属性是默认的sAMAccountName,这个不改就不会有问题,其他类型LDAP服务器,选LDAP Server时默认是uid,但是有些LDAP服务器可能是cn等其他字段名称,具体要和客户确认后再正确配置,如果配置错误就会导致用户认证失败

具体是什么也可以通过ldapbrowser 连到ldap服务器去查看,如下图,用户属性就是ACPUID,而不是默认的uid


5、检查LDAP用户过滤规则是否配置正确
①微软AD域服务器过滤规则设置问题

微软AD与服务器过滤规则保持默认一般是不会有问题的,出现问题最多的就是安全组过滤条件写错了,比如memberOf单词写错了,少了个m
正常的格式是memberOf=CN=group1,OU=Userfortest1,DC=leijia,DC=com
如果怕写错,请直接用ldapbrowser连接LDAP服务器,选择对应的安全组,右键查看属性,复制DN,填到memberOf=后面

也可以直接找到用户查看其memberOf字段是否有包含设备上配置的过滤规则,如果没有则说明这个用户不属于这个安全组

②其他ldap服务器,如openldap,过滤条件设备默认配置的是objectclass=person,这根据不同的ldap服务器可能会发生变化,具体可以通过ldapbrowser检查用户属性,正确配置

另外linux服务器严格区分大小写,objectClass写成objectclass也可能存在问题,严格按照服务器上的大小写配置即可
如果实在按照服务器上的属性配置还是有问题则可以将过滤条件改成:objectClass=*进行测试,如果改成*没有问题了说明还是过滤规则匹配存在问题,若没有过滤需求保持objectClass=*使用也是没有问题的

解决方案

通过检查配置确认是否有问题,如果没有问题那么执行步骤三

我要分享
文档编号: 224607
作者: admin
更新时间: 2023-01-05 17:29
适用版本: