Ubuntu 22.04 - OpenLDAP环境与试用（服务器+LAM+客户端）

csdn你…怎么不自动保存了很崩溃啊啊啊啊，我记得发现没保存之后我又改了一遍然后保存了，怎么现在又没了啊啊啊啊，过了这么久我都不记得了啊啊啊啊啊

文章目录

• 参考
• 服务器
• • 安装前
  • 安装
  • 配置slapd
  • 服务端主机验证
  • 开启日志
• 操作
• • 添加用户和组的基本 DN
• 账户管理器
• • 安装
  • 配置
  • • 通用设置
    • 账户类型
• 客户端
• • 安装
  • 配置
  • 测试
• debug
• • • 日志（其实不用改）
  • 域名问题
  • • ~~静态ip~~

参考

在 Ubuntu 22.04|20.04|18.04 上安装 OpenLDAP 和 phpLDAPadmin 在 Ubuntu 22.04|20.04|18.04|16.04 上配置 LDAP 客户端 如何在 Ubuntu 22.04 上安装 OpenLDAP（转载）

服务器

安装前

设置您的系统主机名并将其添加到文件/etc/hosts。

sudo vim /etc/hosts

将 ldap.example.com 替换为您正确的主机名/有效域名。

192.168.18.50 ldap.example.com

安装

sudo apt-get update
sudo apt-get install slapd ldap-utils

密码：OpenLDAP

配置slapd

sudo dpkg-reconfigure slapd
# Omit OpenLDAP server configuration? NO
# DNS domain name: mint.com
# Organization name: ldap0
# Administrator password: 123456
# Confirm password: 123456
# Do you want the database to be removed when slapd is purged? YES
# Move old database? YES

slapcat输出 SLAPD 数据库内容来确认安装是否成功。 编辑配置文件 /etc/ldap/ldap.conf，取消注释行 \\BASE\\ 和 \\URI\\ 并输入您的 OpenLDAP 服务器的域名。

sudo vim /etc/ldap/ldap.conf

重新启动 slapd服务来应用更改

sudo systemctl restart slapd
sudo systemctl status slapd

针对这个问题，参考：LDAP connection seems to keep failing 方法一：将/etc/ldap/ldap.conf 中的ldapi://改为ldap:// 原理：在 Ubuntu 系统中，LDAP 客户端配置通常位于 /etc/ldap/ldap.conf 文件中。ldapi:// 是用于本地 Unix 套接字的 LDAP URI，而 ldap:// 是用于 TCP/IP 网络连接的 LDAP URI。 对我没用，我本来就是ldap:// 方法二：安装libnss-ldapd

sudo apt-get update
sudo apt install libnss-ldapd

原理：removes libnss-ldap and installs nscd and nslcd 然后再sudo systemctl status slapd，似乎成功了

服务端主机验证

ldapsearch是一个用于搜索和查询LDAP目录的工具。以下是一个使用ldapsearch进行查询验证的示例：

# ldapsearch -x -H ldap://服务器地址|hosts主机名|域名 -D "cn=管理员,dc=域名,dc=顶级域" -w 密码 -b "dc=域名,dc=顶级域" "(objectClass=\\*)"
ldapsearch -H ldap://127.0.0.1 -x -D 'cn=admin,dc=mint,dc=com' -w '123456' -b 'dc=mint,dc=com' '(objectClass=*)'

或

ldapsearch -Q -LLL -Y EXTERNAL -H ldapi:///

这里因为我之前搞过加组加用户什么的（但是记录全丢了），所以还有别的信息

开启日志

配置文件：/etc/ldap/slapd.d

如果你搜索OpenLDAP的安装指南，很不幸地告诉你，网上不管中文的英文的，90%都是错的，它们都还活在上个世纪，它们会告诉你要去修改一个叫做slapd.conf的文件，基本上看到这里，你就不用往下看了，这个文件早就被抛弃，新版的OpenLDAP里根本就没有这个文件！取而代之的是slapd.d的文件夹 ( 我花了一个五一终于搞懂了OpenLDAP)

slapd.d的相关内容太少了…

通过修改cn=config的LDIF文件来设置日志级别。设置日志级别为256（这个日志级别看到了很多不同版本的数字，不知道有什么区别，先这样用着）： 配置日志文件的存储位置。创建或编辑/etc/rsyslog.d/10-slapd.conf文件，添加：

$template slapdtmpl,"[%$DAY%-%$MONTH%-%$YEAR% %timegenerated:12:19:date-rfc3339%] %app-name% %syslogseverity-text% %msg%\\n"
local4.* /var/log/slapd.log;slapdtmpl

将OpenLDAP的日志存储到/var/log/slapd.log文件中 完成后重启rsyslog服务和slapd服务

sudo service rsyslog restart
sudo systemctl restart slapd

查看日志文件 可以使用cat命令：

sudo cat /var/log/slapd.log

或者使用tail命令实时查看日志：

sudo tail -f /var/log/slapd.log

我使用了tail，另外开了个终端进行ldapsearch，可以看到search后日志有增加内容

操作

之前做了但是丢失的：

添加用户和组的基本 DN

创建一个名为 basedn.ldif 的文件（我在/mint/ldap目录下创建），其中包含以下内容：

dn: ou=people,dc=example,dc=com
objectClass: organizationalUnit
ou: people

dn: ou=groups,dc=example,dc=com
objectClass: organizationalUnit
ou: groups

通过运行命令添加文件：

sudo ldapadd -x -D cn=admin,dc=mint,dc=com -W -f basedn.ldif

账户管理器

安装

sudo apt install ldap-account-manager

安装完成后，打开浏览器，访问服务器IP地址后跟URL路径/lam（即http://192.168.5.25/lam）。你应该得到LDAP 帐户管理员 (LAM) 的登录页面。

配置

通用设置

点击右上角lam配置 点编辑服务器配置文件 输入密码lam，点击确定 工具设置里设置主DN，登录方法选择固定列表（fixed list），设置admin用户，然后点击保存

账户类型

再次进入lam配置-编辑服务器配置文件，到“帐户类型”页面以设置 OpenLDAP 服务器的默认组。 在“用户”部分，将 LDAP 后缀输入为 ou=People,dc=localdomain,dc=com 。 在这个例子中，所有用户都应该在 People 上可用。 在“组”部分，输入 LDAP 后缀为 ou=Groups,dc=localdomain,dc=com 。在此示例中，所有组都应在基本组 Groups 中可用。 保存后回到登录页，用户变成了admin，输入密码123456登录

客户端

本来看很多人用phpLDAPadmin，安装之后出现无法使用的问题，查资料发现是php版本问题，绕不开 出自在 Ubuntu 22.04|20.04|18.04 上安装 OpenLDAP 和 phpLDAPadmin（不是有问题就别教我安装啊！） 所以决定听从建议安装LDAP客户管理器了，安装phpLDAPadmin的过程本来有记录的既然丢了就算了

参考：在 Ubuntu 22.04|20.04|18.04|16.04 上配置 LDAP 客户端

安装

将 LDAP 服务器地址添加到 /etc/hosts 文件中。

sudo vim /etc/hosts

192.168.18.50 ldap.mint.com 前面是服务器ip，后面域名 安装命令：

sudo apt -y install libnss-ldap libpam-ldap ldap-utils

设置 LDAP URI – 可以是 IP 地址或主机名 设置搜索库的专有名称 选择 LDAP 版本 3 为设为本地根数据库管理员选择是 LDAP 数据库是否需要登录？回答否 为 root 设置 LDAP 帐户，例如 cn=admin,cd=example,cn=com

设置 LDAP root 帐户密码：123456

配置

安装后，编辑 /etc/nsswitch.conf 并将 ldap 身份验证添加到 passwd 和 group 行。

sudo vim /etc/nsswitch.conf

修改文件/etc/pam.d/common-password。删除第 26 行的 use_authtok

在 Ubuntu 系统中，/etc/pam.d/common-password 文件是 PAM（Pluggable Authentication Modules）配置文件之一，用于定义密码认证的相关策略。use_authtok 是 PAM 模块中的一个选项，用于指定是否使用前一个模块提供的认证令牌（通常是密码）。

通过将以下行添加到文件 /etc/pam.d/common-session 的末尾，可以在首次登录时创建主目录

session optional pam_mkhomedir.so skel=/etc/skel umask=077

测试

通过切换到 LDAP 上的用户帐户进行测试

sudo su – mouse
id

su: user mouse does not exist or the user entry does not contain all the required fields

提示用户不存在

getent passwd mouse

没有返回结果说明系统无法解析该用户，试了一些常见方法还没弄好，先这样吧

回来力！解决一下这个问题

debug

用nc命令测试能否连到服务器

nc -zv ip 389

查看服务器ip已经不是那个了所以连不上，改成真实ip就连上了

使用ldapsearch直接查询用户

ldapsearch -x -H ldap://192.168.18.50 -b "dc=mint,dc=com" "(uid=mouse)"

有结果，能正常访问LDAP服务 输出结果也可以检查POSIX属性是否完整，POSIX属性一般包括包括 uidNumber、gidNumber、homeDirectory 和 loginShell，这里都有的 检查 nslcd 配置

sudo vim /etc/nslcd.conf

关键配置项：

uri ldap://ldap.mint.com
base dc=mint,dc=com
binddn cn=admin,dc=mint,dc=com
bindpw 123456
ssl no # 如果未启用 TLS
tls_reqcert allow # 允许自签名证书（如有需要）

发现这里缺了不少啊补上，暂时改成这样 （后来发现这里打成ssl on了…人怎么能这么粗心大意）

保存后需要重启nslcd服务

sudo systemctl restart nslcd

再试还是没用，继续！

日志（其实不用改）

启用调试日志，修改 /etc/nslcd.conf 增加日志级别：

sudo vim /etc/nslcd.conf

loglevel 1 # 日志级别 0-5，5 为最详细
log /var/log/nslcd.log

重启服务并查看日志：

sudo systemctl restart nslcd
sudo tail -f /var/log/nslcd.log

如果报错的话可以这样查看详细信息

systemctl status nslcd.service
journalctl -xeu nslcd.service

比如说第一条命令，在这里可以看到是/etc/nslcd.conf第37行的loglevel无法发识别 因为不同版本nslcd可能用的参数不同…先确定一下版本

nslcd –version

nss-pam-ldapd 0.9.12，但是我也不知道怎么搜他参数… 通过 man 手册获取 nslcd.conf 的参数说明：

man nslcd.conf

看到log是这个形式的 参数形式：log SCHEME LEVEL SCHEME：指定日志记录的方式，可以是以下选项之一：

• none：不记录日志。
• syslog：将日志发送到系统日志（默认方式）。
• absolute file name：指定一个绝对路径的文件，将日志写入该文件。

LEVEL：可选参数，指定日志级别。日志级别决定了记录哪些级别的消息。可选值包括：

• crit：仅记录关键错误。
• error：记录错误信息。
• warning：记录警告信息。
• notice：记录重要通知。
• info：记录一般信息（默认级别）。
• debug：记录调试信息，包含最详细的消息。

也就是说现在应该是默认的log syslog info，记录一般信息到系统日志，感觉没必要改，把加的log那几句删掉，去系统日志看看吧 那系统日志在哪呢 常见的系统日志文件：

/var/log/syslog：在使用 syslogd 或 rsyslogd 的系统中，这是主要的系统日志文件。
/var/log/messages：在一些系统中，这文件包含一般系统消息。
/var/log/daemon.log：用于记录守护进程的日志信息。
/var/log/auth.log：用于记录认证相关的日志信息（如用户登录、su命令等）。

怎么查看： 使用 tail 命令 查看日志文件的末尾部分（实时更新）：

tail -f /var/log/syslog

使用 journalctl（适用于使用 systemd 的系统） 查看特定服务的日志（例如 nslcd）：

journalctl -u nslcd.service

所以要查看nscld的日志可以用

tail -f /var/log/syslog

开着这个终端不要退出tail，新开一个终端执行su，查看最新的日志 看了一眼之后想起来配置文件里要改ip…把/etc/nslcd.conf里服务器uri改成真实ip然后重启nslcd服务，再su试试，查看syslog日志： slapd的： TLS握手失败，能是证书配置错误或加密协议不兼容。然后再排查了一遍，发现是nslcd.conf里写了ssl on，关掉ssl之后就成功了 可以使用exit或者Ctrl + D退出

好现在来研究一下开ssl怎么搞 证书路径：/etc/ssl/certs/ca-certificates.crt 修改证书权限

sudo chmod 644 /etc/ssl/certs/ca-certificates.crt

不是，怎么就能用了？？ 那总之现在问题是解决了先这样吧累了

域名问题

发现服务器ip变了，所以域名失效了 目前搞不了所以只能每次手动换ip了（

静态ip

搞不了啊在学校（X 尝试搞一下 确认当前网络接口名称

ip a

第一个是lo，环回接口，看到第二个，网络接口是ens33 编辑/etc/netplan下的yaml文件，我这是01-network-manager-all.yaml 这里记一下初始的配置防止改坏了

# Let NetworkManager manage all devices on this system
network:
version: 2
renderer: NetworkManager

修改成

network:
version: 2
renderer: NetworkManager # 使用 NetworkManager 管理网络
ethernets:
ens33: # 网卡名称
dhcp4: no # 禁用 DHCP
addresses:
– 192.168.18.50/24 # 静态 IP 和子网掩码（CIDR 格式）
routes:
– to: default
via: 192.168.18.1 # 网关地址
nameservers:
addresses: [8.8.8.8, 1.1.1.1] # DNS 服务器