LDAP Auth Problem

[Pimmal]

Hi,

ich habe einen Samba Domänen Controller, wenn ich jetzt LDAP Auth nutzen möchte bekomme ich bei unverschlüsselter Anfrage folgende Meldung:
opnsense: LDAP bind error (Strong(er) authentication required)

Nutze ich jetzt SSL Auth bekomme ich folgende Meldung:
opnsense: LDAP bind error (Can't contact LDAP server)

Kann mri hier jemand helfen?

[DokuKäfer]

Vielleicht hilft dir hier auch folgender LDAP Fix
https://forum.opnsense.org/index.php?topic=3904.0

[franco]

Hi Pimmal,

Deswegen vielleicht?

https://github.com/opnsense/core/blob/master/src/opnsense/mvc/app/library/OPNsense/Auth/LDAP.php#L325

Ich frage Ad, er ist der Experte.


Grüße
Franco

[Pimmal]

Hi,
habe das von euch gelinkte File geändert, leider besteht der Fehler immer noch.
Das Problem besteht auch nur bei einem Samba AD, mit Microsoft AD geht es einwandfrei.

Der Samba AD funtkioniert auch einwandfrei da die WIndows CLientanmeldung Problemlos möglich ist.

[franco]

SSL (LDAPS) ist aktuell nicht unterstützt. Klingt so als ob Samba AD darauf besteht, dann geht es natürlich nicht. Kurzfristig lässt sich das am Samba lösen, mittelfristig muss es bei uns über SSL möglich sein. Bitte um Rückmeldung falls das das genaue Problem ist. :)


Grüsse
Franco

[Pimmal]

Hey,

dies scheint keine Option zu sein:

error: --disable-gnutls given: Building the AD DC requires GnuTLS

Jetzt stellt sich für mich die Frage lohnt es sich bei OPNsense zu bleiben?
Ja --> es wird SSL Support züfif realisiert.
Nein --> das kann dauern

[franco]

Hi Pimmal,

Das sieht mir nach einem Compile-Switch aus. Gibt es denn keine Möglichkeit Samba zu normalem LDAP auf 389 zu bringen?

Zu zügig kann ich am Freitag eine Aussage machen.


Grüsse
Franco

[Pimmal]

Hey Franco,

das ist ja das Problem, auf Port 389 ist die Meldung: LDAP bind error (Strong(er) authentication required

und biem kopilieren ohne TLS kommt: error: --disable-gnutls given: Building the AD DC requires GnuTLS

Per LDAP browser ist ein login nur möglich wenn man die Authentifizierung auf "GSS Negotiate" stellt.

Bin leidr kein AD experte und weiß jetzt ned wo der LDAP unterschiede zum MS AD macht. sorry.
Kann dir nur soviel Infos liefern damit du arbeiten und evtl helfen kannst.

[franco]

Schau mal hier... https://www.samba.org/samba/security/CVE-2016-2112.html

smb.conf:

ldap server require strong auth = no

Sollte in dem Fall helfen. Ist keine Dauerlösung, aber für die Diagnose der beste Test.


Grüsse
Franco

[Pimmal]

Bringt nix diese Option: Strong Authentication Required