RHEL6配置簡單LDAP服務器 基於TLS加密和NFS的用戶家目錄自動掛載

RHEL6配置簡單LDAP服務器

基於TLS加密和NFS的用戶家目錄自動掛載

實驗說明：

     在RHEL6.0中，使用開源的openldap套件，安裝配置LDAP認證服務；並使用TLS加密認證；NFS共享用戶家目錄， autofs實現自動掛載。

實驗環境：

     利用教學使用的instructor服務器，提供dns、dhcp服務；

     server5爲獨立的CA服務器，station.domain11.example.com配置

     爲ldap服務器，desktop11爲ldap客戶端。

     備註：簡單實驗，服務器可集中在1臺，客戶端1臺，共2臺便可。

實驗拓樸：

 

實驗步驟：

1.DNS作好域名解析，

 

2.ldap服務器的基本網絡配置

 

3.安裝LDAP相關軟件：

  主要有3個包：openldap、openldap-servers、openldap-clients

 

4. 配置LDAP的域信息，並測試！ 

5.建立數據庫文件（從模板複製產生）。並使用戶ldap有權限。

6.啓動LDAP服務，自動建立數據庫文件。 

 

7.檢查搜索域

8.建立待認證的用戶。最後指定特定的家目錄。如：/netdir/guests

9.安裝遷移工具migrationtools，用來遷移系統用戶爲ldap用戶。

這些 Perl 腳本的配置信息包含在 migrate_common.ph 文件的開頭。對於咱們來講，只須要修改命名前綴的變量來使用條目的識別名就足夠了，以下所示：

10.建立認證帳戶文件

主要的概念：

dn：惟一區分名

dc：所屬區域

ou：所屬組織

cn/uid：全名/登陸ID

① 運行腳本 migrate_base.pl，它會建立根項，併爲 Hosts、Networks、Group和 People 等建立低一級的組織單元，指定爲base.ldif文件

② 建立用戶數據庫文件：最好先把要遷移爲ldap用戶先導出爲獨立文件。 

③ 建立組帳戶文件；④ 檢查產生的三個文件。

⑤ 重啓sladp，遷移用戶； 

若是出現錯誤：

ldap_bind: Invalid credentials (49)

就表示你要麼給出了錯誤的"cn="條目，要麼給出了錯誤的密碼

Enter LDAP Password:(輸入你剛纔設置的密碼)，正確以後會顯示：

檢測： 

11. 打開服務器端防火牆tcp389端口 

12.用GUI界面查看LDAP用戶

最好是：cd /var/www/html/目錄，再下載phpldapadmin-1.2.2.tgz (版本要新點的，不要下錯啊！不然可能形成沒法使用)

 

而後在客戶機上打開瀏覽器http://192.168.0.111/myldap訪問LDAP。以下： 

登陸的時候：DN框輸入：cn=Manager,dc=domain11,dc=com，輸入密碼。

登陸成功！列出目錄用戶

13.ldap客戶端配置 (另啓一臺爲客戶端)

1)       打開LDAP配置界面 

2)       測試。這時還不能自動掛ldapuser的家目錄，後面autofs再分析。

 檢查/etc/openldap/ldap.conf ；/etc/nsswitch.conf；

 再次檢查/etc/resolv.conf的配置是否發生變化；

3)       關於sssd服務。這個服務不是必須的。

安裝sssd包。將/etc/sssd/sssd.conf文件中的#enumerate=false，修改成：enumerate=true，這樣修改完後，getent就會從LDAP查找帳戶信息。

  

14.實現TLS加密

① 搭建CA中心，安裝openssl包，並配置：

② CA中心生成自已的私、公鑰(證書)

③ ldap服務器生成私鑰，並生成證書請求文件： 

 

④ CA中心簽發證書，ldap服務器下載CA證書和本身的證書

⑤ ldap服務器安裝證書

⑥ CA中心發佈自已的公鑰

 

⑦ 測試

TLSVerifyClient          never  #永不對客戶證書進行認證

附註：要啓動TLS進行數據加密，server端即便不對客戶端進行證書認證，也必須（required）配置以上項，不然TLS失敗。

15.實現基於NFS的LDAP用戶主目錄

1)              配置nfs服務器

若是不是on則遠程用戶無權限進入本身的目錄。 

2) 配LDAP客戶端。必須有第一節的目錄，即：/netdir，其它能夠沒有！

 

3) 測試登陸，有家目錄了！

 

資料：

http://ms.ntcb.edu.tw/~steven/article/ldap-1.htm

http://blog.sina.com.cn/s/blog_64aac6750101gwst.html

http://bbs.linuxtone.org/thread-8538-1-1.html