ldaps 与 ldap over TLS 的区别

ldaps 与 ldap over TLS 的区别

@[toc]

参考转载：https://blog.csdn.net/seulzz/article/details/108345871

1 LDAP over SSL（即ldaps）

1. ldap默认不加密情况下走389端口
2. 当使用ldaps的时候走636端口
3. ldaps已经淘汰了（不然也不会有LDAP over TLS出来）

2 LDAP over TLS（即ldap + TLS）

1. LDAP over TLS可以简单理解为ldaps的升级
2. 它默认走389端口，但是会通讯的时候加密
3. 客户端连接LDAP时，需要指明通讯类型为TLS

3 连接方式对比：

3.1 启动服务器debug模式

先将服务器以debug方式启动，以观察连接日志

/usr/sbin/slapd -u ldap -h "ldapi:/// ldap:/// ldaps:///"  -d 256

-d 256 ：代表debug方式
ldap:/// :代表0.0.0.0:389
ldaps:/// :代表0.0.0.0:636
ldapi:/// :代表

3.2 ldaps方式连接

三选一

ldapsearch -H ldaps://127.0.0.1          #---本机
ldapsearch -x -H ldaps://ldap.hb.lan
ldapsearch -x -H ldaps://ldap.hb.lan  aaaa   #---搜索标示aaaa

日志：

60cac4ff conn=1000 fd=18 ACCEPT from IP=192.168.5.7:43548 (IP=0.0.0.0:636)
60cac4ff conn=1000 fd=18 TLS established tls_ssf=256 ssf=256
60cac4ff conn=1000 op=0 BIND dn="" method=128
60cac4ff conn=1000 op=0 RESULT tag=97 err=0 text=
60cac4ff conn=1000 op=1 SRCH base="dc=hb,dc=lan" scope=2 deref=0 filter="(objectClass=*)"
60cac4ff conn=1000 op=1 SEARCH RESULT tag=101 err=0 nentries=8 text=
60cac4ff conn=1000 op=2 UNBIND
60cac4ff conn=1000 fd=18 closed

3.3 LDAP over TLS方式连接(STARTTLS)

三选一

ldapsearch -ZZ -H ldap://127.0.0.1          #---本机
ldapsearch -x -ZZ -H ldap://ldap.hb.lan
ldapsearch -x -ZZ -H ldap://ldap.hb.lan  bbbb   #---搜索标示bbbb

日志：

60cac54b conn=1001 fd=18 ACCEPT from IP=192.168.5.7:33304 (IP=0.0.0.0:389)
60cac54b conn=1001 op=0 EXT oid=1.3.6.1.4.1.1466.20037
60cac54b conn=1001 op=0 STARTTLS
60cac54b conn=1001 op=0 RESULT oid= err=0 text=
60cac54b conn=1001 fd=18 TLS established tls_ssf=256 ssf=256
60cac54b conn=1001 op=1 BIND dn="" method=128
60cac54b conn=1001 op=1 RESULT tag=97 err=0 text=
60cac54b conn=1001 op=2 SRCH base="dc=hb,dc=lan" scope=2 deref=0 filter="(objectClass=*)"
60cac54b conn=1001 op=2 SEARCH RESULT tag=101 err=0 nentries=8 text=
60cac54b conn=1001 op=3 UNBIND
60cac54b conn=1001 fd=18 closed

4 总结

建议关闭ldaps方式，仅开启LDAP over TLS

最后

image