Wie löse ich ldap_start_tls() "Kann TLS nicht starten: Connect error" in PHP?

Question

Ich erhalte:

Warnung: ldap_start_tls() [function.ldap-start-tls]: Kann nicht Start TLS: Fehler Schließen Sie in /var/www/X.php auf der Linie Y

/etc/ldap/ldap.conf:

TLS_CACERT  /etc/ssl/certs/ca.crt 

ca.crt ist die CA, die das LDAP-Server-Zertifikat signiert. Das Zertifikat auf dem LDAP-Server ist abgelaufen und ich kann es nicht ändern.

Answer 1

Sie können die Gültigkeit in Fenster ignorieren, indem

Ausgabe

putenv('LDAPTLS_REQCERT=never'); 

in Ihrem PHP-Code. In * nix müssen Sie Ihre /etc/ldap.conf bearbeiten enthalten

TLS_REQCERT never 

Eine andere Sache zu beachten ist, dass es Version 3 (Version 2 ist PHP-Standard) erfordert:

$con = ldap_connect($hostnameSSL); 
ldap_set_option($con, LDAP_OPT_PROTOCOL_VERSION, 3); 

Um eine bessere Vorstellung

ldap_set_option(NULL, LDAP_OPT_DEBUG_LEVEL, 7); 

Dies kann getan werden, bevor die ldap_connect erfolgt: von dem, was vor sich geht, können Sie die Debug-Protokollierung von aktivieren.

Answer 2

Meine Lösung/Abhilfe ist

/etc/ldap/ldap.conf: 
#TLS_CACERT /etc/ssl/certs/ca.crt 
TLS_REQCERT never 

verwenden Wenn Sie eine bessere Idee haben, schreiben Sie bitte eine andere Antwort.

Answer 3

Der Pfad für ldap.conf in Windows festgelegt ist:

c: \ openldap \ sysconf \ ldap.conf

Ein Neustart des Web-Servers erforderlich Änderungen zu übernehmen werden.

Answer 4

1. In Debian-basierten Systemen:

   Installieren Sie das Paket: ldap-utils und in der Datei /etc/ldap/ldap.conf, bearbeiten Sie die Zeile:

   TLS_CACERT /etc/ldap/cacerts/cacert.asc 
   

   Erstellen Sie das Verzeichnis /etc/ldap/cacerts und kopieren Sie die cacert zu /etc/ldap/cacerts/cacert.asc

   Neustart apache.

2. In RedHat-basierten Systemen:

   Installieren Sie das Paket: openldap-clients und in der Datei /etc/openldap/ldap.conf bearbeiten die Zeile:

   TLS_CACERT /etc/openldap/cacerts/cacert.asc 
   

   Erstellen Sie das Verzeichnis /etc/openldap/cacerts und kopieren Sie die cacert zu /etc/openldap/cacerts/cacert.asc

   Neustart httpd

Answer 5

Einige zusätzliche Hilfe für andere, löste das Zertifikat Lösung hier meine ldapsearch Linie Ausgabebefehl, aber immer noch PHP beschwerte **Can't contact LDAP server**

Es stellte sich heraus SELinux auf RHEL7 (CentOS7) blockiert sein HTTPD von LDAP-Ports 389 mit und 636 Standardmäßig können Sie die Blockierung mit:

setsebool -P httpd_can_network_connect 1 

Überprüfen Sie Ihre SELinux-Prüfprotokolldatei auf Dinge, die blockiert werden.

Answer 6

Ich konnte dies mit openldap auf Amazon Linux (Elastic Beanstalk PHP 7.0) mit MacOS Server 5 LDAP richtig funktionieren, mit TLS eingestellt zu verlangen.

in /etc/openldap/ldap.conf:

TLS_REQCERT Nachfrage

TLS_CACERT /etc/openldap/certs/yourcacert.pem

(beachten Sie, dass, wenn Sie nicht verwenden, OpenLDAP, die Pfad ist /etc/ldap/certs/yourcacert.pem). Dieses Setup hat nicht funktioniert, bis ich das Zertifikat in den Ordner certs gestellt habe. es funktionierte nicht von irgendeinem anderen Weg.

Das Zertifikat, das in diesen Pfad eingefügt werden soll, ist NICHT das TLS-Zertifikat des Servers. Es ist das CA (Certificate Authority) -Zertifikat der Behörde, die das server/domainspezifische TLS-Zertifikat ausgestellt hat. Nur das CA-Zertifikat in diesem Pfad ermöglicht TLS zu arbeiten, bevor eine LDAP-Bindung in PHP versucht wird. Holen Sie das CA-Zertifikat von Ihrem Server oder laden Sie es von der Website der Behörde, sie sind frei verfügbar.

Um zu testen, ob die LDAP-Bindung auch ohne TLS funktioniert, setzen Sie TLS_REQCERT niemals vorübergehend (möglicherweise müssen Sie TLS_CACERT auskommentieren). Wenn Sie "Verbindung zu LDAP nicht herstellen" erhalten, handelt es sich nicht um einen TLS-Fehler. Es kann einfach keine Verbindung zum Server herstellen und Sie müssen wahrscheinlich Port 389 (nicht 636 für TLS) öffnen.

Denken Sie daran, Ihren Apache-Server jedes Mal neu zu starten, wenn Sie die Konfigurationsdatei oder das Zertifikat ändern.