# bionic-Client: adsso.conf, Icons und verschlüsselte Verbindung mit Zertifkat **URL:** \ **Category:** Linuxclient\ **Created:** [26. Dezember 2020 um 12:42 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694 "2020-12-26T12:42:13Z")\ **Posts on this page:** 20\ **Page:** 1
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [26. Dezember 2020 um 12:42 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/1 "2020-12-26T12:42:14Z")
Hallo – ich versuche es nochmal hier im Forum. Unser bionic-Client (kommt hier aus der Liste) verlinkt auf dem Desktop der User die Shares nicht mehr. Es taucht kein Icon mehr auf… Wenn ich mich da als Lehrer anmelde, sind zwar meine Server-Shares unter `/srv/samba/schools/default-school` sowie unter `/var/lib/samba/sysvol` _vorhanden_ und _eingehängt_ aber auf dem Desktop gibt es keine Symbole/Links mehr zu den entsprechenden Verzeichnissen. Das funktionierte irgendwann schon mal und ich weiß nicht, warum es jetzt nicht mehr geht. Kann es sein, - dass die Links für den Vorlagen-User „linuxadmin“ auch vorhanden sein müssen, damit sie wieder übernommen werden? Wer kann für mich ggf. nachsehen, wie diese Links im linuxadmin-Profil aussehen bzw wohin sie zeigen müssen (denn der linuxadmn selbst erhält ja keine Shares) oder - dass meine # `/etc/linuxmuster-client/adsso.conf` vom 20181127 mittlerweile überarbeitet wurde und ich da die ganze Zeit eine veraltete Version habe?? Ich hatte auf dem gleichen Client die Icons zu meinen Shares jedenfalls schon mal – vorhin habe ich `/home/cache` geleert und mich neu angemeldet. Da erschien nichts mehr. Ein turnkey habe ich auch schon neu losgelassen. Ist zwar erfolgreich durchgelaufen – hat aber leider nichts geändert … Gerade erst in der Orga-Übersicht gesehen: dieser Beitrag hätte vielleicht direkt an @Tobias gehen sollen!?? Kannst du _hier_ dazu etwas sagen? Oder soll ich das unter github als issue anlegen? Viele Grüße, Michael ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 17:02 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/2 "2020-12-28T17:02:13Z")
Hi. … ich komme nochmal auf das Problem zurück. Könnte jemand, bei dem die Verlinkung funktioniert, mir den Gefallen tun und bei sich nachsehen, wie die Rechte der Scripte unter `/etc/linuxmuster-client/login.d` aussehen müssen? Die Scripte sind hier _alle_ nicht executable – vielleicht liegt es ja daran?? ![Screenshot_20201228_175858](https://ask.linuxmuster.net/uploads/default/original/2X/e/e95e1a083916a8717ce60b05c6fb7bb8c09be8a6.png) ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [28. Dezember 2020 um 17:17 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/3 "2020-12-28T17:17:55Z")
Hallo Michael, ich schau Heute Nacht mal nach. Generell ist es schon seltsam, wenn scripte kein X Bit gesetzt haben… LG Holger ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 17:26 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/4 "2020-12-28T17:26:19Z")
Danke, Holger. Mir ist gerade noch etwas anderes aufgefallen: Laut [Doku](https://github.com/linuxmuster/linuxmuster-client-adsso/wiki/Benutzung%3A%3A03-Profil-und-Profilanpassungen) sollen beim Login alle möglichen Scripte ablaufen – unter anderem zunächst das Script `/etc/linuxmuster-client/login.d/00_userinfo.sh` das dafür sorgt, dass ein paar Umgebungsvariablen unter `/tmp/$USER` gespeichert werden. Das ist hier nicht der Fall. Es gibt dort aber eine Datei namens `-rw------- 1 meinlogin domain users 0 Dez 28 18:08 config-err-6E7uXd`, die evtl stattdessen angelegt wurde? Daher vermute ich mal sehr stark, dass alle weiteren Scripte schon deshalb nicht ausgeführt werden. Ich habe übrigens allen Scripten das +x Bit gegeben, um zu schauen, ob es daran liegt. Das hat bisher aber nichts geändert. Wenn ich das richtig sehe, ist @Tobias für das adsso unter Bionic zuständig. Der ist aber leider AFK, wie es scheint?? Viele Grüße, Michael ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 18:13 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/5 "2020-12-28T18:13:42Z")
… und wieder etwas schlauer: Beim Login eines Users wird das Script `/etc/linuxmuster-client/scripts/login.sh` aufgerufen. Das wiederrum ruft die anderen, oben genannten Scripte auf. Daher müssen die auch kein +x Bit besitzen!!! Wenn ich das Script aber als User aufrufe, erhalte ich hier: ```auto Executing /etc/linuxmuster-client/login.d/00_userinfo.sh ... Failed to connect to ldap URL 'ldaps://server.linuxmuster.meine-domain.de' - LDAP client internal error: NT_STATUS_INVALID_PARAMETER Failed to connect to 'ldaps://server.linuxmuster.meine-domain.de' with backend 'ldaps': LDAP client internal error: NT_STATUS_INVALID_PARAMETER Failed to connect to ldaps://server.linuxmuster.meine-domain.de - LDAP client internal error: NT_STATUS_INVALID_PARAMETER [...] ``` Es scheitert also an dem Befehl in Zeile 22 (ad\_query): ` ldbsearch -k yes -H ldaps://$servername.$ad_domain "(&(samaccountname=$USER))" ` bzw ohne Variablen: `ldbsearch -k yes -H ldaps://server.linuxmuster.meine-domain.de "(&(samaccountname=meinlogin))"` Vielleicht kann ich meine Bitte von oben also abändern? Holger (oder gerne auch andere), könntest Du diesen Befehl bei Dir als User testen? Funktioniert das bei Dir? Die Option `-k yes` versucht die Abfrage über ein Kerberos-Ticket. Mit `klist` kann man sich (als User!) den Ticketzwischenspeicher ansehen. Danke nochmal. Viele Grüße, Michael ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 20:05 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/6 "2020-12-28T20:05:48Z")
Ok, jetzt weiß ich (wieder), was da faul ist (unter Punkt 2): > **[ldb-tools nach Badlock | Stefan Kania](https://www.kania-online.de/ldb-tools-nach-badlock/amp/)** Es ist so: Wenn man eine ldap-Abfrage via Kerberos macht, MUSS man ldap und nicht ldaps verwenden. Das ist in dem Script `00_userinfo.sh` also ein Bug! Da steht es falsch, da die Abfrage zusammen mit `-k yes` UND ldap **s** durchgeführt wird. Wenn man das **s** entfernt, laufen die Scripte durch und die Links zu den Shares werden auch wieder richtig angzeigt! Also: In Zeile 22 in dem Script muss das s bei ldaps entfernt werden!! Ergänzung: Gut möglich, dass dieser Fehler nur dann auftaucht, wenn man dem v7-Server einen FQDN und ein gültiges Zertifikat gegeben hat! ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [28. Dezember 2020 um 20:27 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/7 "2020-12-28T20:27:42Z")
Hallo Michael, > Ok, jetzt weiß ich, was da faul ist (unter Punkt 2): > > [kania-online.de](http://kania-online.de) [https://www.kania-online.de/ldb-tools-nach-badlock/amp/](https://www.kania-online.de/ldb-tools-nach-badlock/amp/) > > ``` > ldb-tools nach Badlock | Stefan Kania > > > ``` > > Es ist so: Wenn man eine ldap-Abfrage via Kerberos macht, MUSS man ldap > und nicht ldaps verwenden. Das ist in dem Script |00\_userinfo.sh| also > ein Bug! Da steht es falsch, da die Abfrage zusammen mit |-k yes| UND > ldap_s_ durchgeführt wird. Wenn man das _s_ entfernt, laufen die Scripte > durch und die Links zu den Shares werden auch wieder richtig angzeigt! > > Also: In Zeile 22 in dem Script muss das s bei ldaps entfernt werden!! OK: krass. Dann muss ich das also nicht mehr ausprobieren? Ich hab jetzt einen Client in der Schule laufen und schau nach, wie das in meiner Datei drin steht. Bei mir steht die Zeile in Zeile 23 und enthält ein „s“ hinter dem http. Ich hab jetzt also diese Zeile als „ich“ (Usernamen geändert) am Cleint angemeldet in einem Terminal abgesetzt: ldbsearch -k yes -H ldaps://server.meinedomain.lan „(&(samaccountname=ich))“ das funktioniert: es kommen etliche Angaben aus dem LDAP zurück: Gruppenzugehörigkeiten usw. Meine Domain hab ich aus der /etc/hosts des Clients geholt. Irgend wie hab ich das Gefühl, dass bei dir was am DNS nicht stimmt… der ist immer Schuld, wenn es ganz seltsam wird 🙂 LG Holger ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 20:38 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/8 "2020-12-28T20:38:40Z")
Kann es auch sein, dass es bei dir klappt, da du intern keine „echte Domain“ verwendest, während ich auch intern unseren FQDN durchgereicht habe?! Jedenfalls funktioniert der Befehl bei mir mit ldaps:// nicht – während er mit ldap:// durchläuft und die gewünschte Ausgabe liefert. ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 20:49 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/9 "2020-12-28T20:49:27Z")
Guck mal hier – da steht das auch nochmal. Über diese Seite bin ich irgendwann schon mal gestolpert und hatte es zwischenzeitlich wieder aus dem Kurzzeitgedächtnis gelöscht: > **[Samba Active Directory Server – tech-island.com](https://www.tech-island.com/tutorials/samba-active-directory-server#ldbsearch_funktioniert_nicht_mit_SSL_und_kereros)** ---
**Author:** ![dorian](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/dorian/32/5289_2.png) [@dorian](https://ask.linuxmuster.net/u/dorian)\ **Post date:** [28. Dezember 2020 um 22:15 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/10 "2020-12-28T22:15:53Z")
Hi Michael, Dass es mit ldaps nicht klappt riecht für mich irgendwie nach einem Zwertifikatsproblem … Kann es sein, dass dein Client dem (selbstsigierten?) Serverzertifikat nicht vertraut? Nur so ein Gedanke … 🤷‍♂️ VG Dorian ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [28. Dezember 2020 um 23:45 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/11 "2020-12-28T23:45:08Z")
Hi Dorian … ich glaube, dass eher das Gegenteil der Fall sein könnte?? Ich habe auf unserem v7 Server auch _intern_ unseren FQDN benutzt. Zudem hat der v7-Server ein _gültiges_ LE-Cert, was vom Client auch bestätigt wird: ```auto openssl s_client -connect server:636 (oder auch :3269) --- Certificate chain 0 s:CN = server.linuxmuster..de i:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3 1 s:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3 i:O = Digital Signature Trust Co., CN = DST Root CA X3 ``` Daher vermute ich, dass bei Holger die Anfragen auf Port 636 bzw 3269 auch ohne Cert abgenickt werden? Ist die Option ```auto TLS_REQCERT never ``` evtl bei Euch gesetzt? Ich bin nicht ganz sicher, ob das auf dem v7-Server noch relevant ist – auf dem alten v6-Server war es das auf jeden Fall… Ach ja – auch die verschlüsselte Abfrage via `ldapsearch ... -H ldaps://server.... -U username` funktioniert problemlos. Viele Grüße, Michael ---
**Author:** ![MachtDochNix](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/machtdochnix/32/44_2.png) [@MachtDochNix](https://ask.linuxmuster.net/u/MachtDochNix)\ **Post date:** [29. Dezember 2020 um 08:35 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/12 "2020-12-29T08:35:51Z")
Moin! Ich würde die letzten 5 Beiträge (ab der Lösung) gerne in einen neuen verschieben. Was wäre eine passende Überschrift? Beste Grüße Thorsten ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [29. Dezember 2020 um 09:04 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/13 "2020-12-29T09:04:41Z")
@MachtDochNix: Warum? Es ist ja noch nicht abschließend geklärt, warum das bei mir ohne s sein muss, während es woanders auch mit funktioniert Ich würde das hier zusammen lassen… ---
**Author:** ![dorian](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/dorian/32/5289_2.png) [@dorian](https://ask.linuxmuster.net/u/dorian)\ **Post date:** [29. Dezember 2020 um 10:13 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/14 "2020-12-29T10:13:55Z")
Hi Michael, Kann es sein, dass standardmäßig _nur_ dem selbstsignierten Zertifikat, das vom Linuxmuster setup generiert wird, vertraut wird? Ich kenn mich damit ehrlich gesagt nicht gut genug aus, aber es gab mal irgendwo einen Wiki Eintrag (oder einen Forenbeitrag?) in dem es um den Zertifikatskram ging, vielleicht steht da ja mehr. VG Dorian ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [29. Dezember 2020 um 10:17 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/15 "2020-12-29T10:17:19Z")
Vielleicht meintest du diesen Beitrag von 2019? > [@Nochmal ldaps -- Abfragen auf Port 636 und 3269 (HowTo)](https://ask.linuxmuster.net/t/nochmal-ldaps-abfragen-auf-port-636-und-3269-howto/4532): > > Hi. Sorry, es reißt nicht ab … ich frage nochmal in einem neuen Thread und hoffe, dass jemand weiter weiß: Wenn ich auf dem Server diese Abfrage starte: ldapsearch -b "ou=default-school,ou=SCHOOLS,dc=linuxmuster,dc=meine-schule,dc=de" -H ldaps://server.linuxmuster.meine-schule.de:636 -x -D global-binduser@linuxmuster.meine-schule.de -w geheimesPasswort givenName=Michael wird alles ohne Probleme durchgeführt. Ersetze ich den Hostnamen aber gegen die IP 10.16.1.1, so erhalte ich: "ldap\_sa… Den kenne ich zufällig – kam von mir 🙂 ---
**Author:** ![dorian](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/dorian/32/5289_2.png) [@dorian](https://ask.linuxmuster.net/u/dorian)\ **Post date:** [29. Dezember 2020 um 11:07 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/16 "2020-12-29T11:07:42Z")
Nein, der war es nicht, aber ich finde ihn leider auch nich mehr 😕 Hab da leider auch nicht mega viel Ahnung von … ---
**Author:** ![MachtDochNix](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/machtdochnix/32/44_2.png) [@MachtDochNix](https://ask.linuxmuster.net/u/MachtDochNix)\ **Post date:** [29. Dezember 2020 um 11:39 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/17 "2020-12-29T11:39:46Z")
@MachtDochNix: Warum? Es ist ja noch nicht abschließend geklärt, warum das bei mir ohne s sein muss, während es woanders auch mit funktioniert Ich würde das hier zusammen lassen… Weil du die Überschrift schon als gelöst markiert hast, vielleicht?! siehe post #6 😉 Ein Problem --\> ein neuer Thread und bei dem eine möglich treffende Überschrift! Erleichtert auch das wiederfinden. Beste Grüße Thorsten ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [29. Dezember 2020 um 12:24 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/18 "2020-12-29T12:24:10Z")
> [@MachtDochNix](#): > > Weil du die Überschrift schon als gelöst markiert hast, vielleicht?! siehe post #6 … dann nehme ich doch lieber das „Gelöst“ wieder raus, meine ich? ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [29. Dezember 2020 um 12:40 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/19 "2020-12-29T12:40:42Z")
Die Frage, wer von wo über welche Verschlüsselung auf den Server zugreifen darf, scheint jedenfalls der Kern des Problems zu sein?! Ich habe dazu diese Seite gefunden: > **[LDAP-Server abfragen mit ldapsearch \[magenbrotWiki\]](https://wiki.magenbrot.net/linux/ldap/ldap_abfragen_mit_ldapsearch)** Hier ist es so: Wenn ich auf dem _Server_ den Befehl **mit TLS-Verschlüsselung** (also mit der Option -Z) verwende: ```auto ldapsearch -H ldap://server -b "ou=default-school,ou=SCHOOLS,dc=linuxmuster,dc=meine-domain,dc=de" -D global-binduser@linuxmuster.meine-domain.de -w supergeheimesPasswort -Z ``` läuft die Anfrage durch; versuche ich das gleiche vom Client aus, erhalte ich: ```auto ldap_start_tls: Connect error (-11) additional info: (unknown error code) ldap_result: Can't contact LDAP server (-1) ``` Wenn ich es stattdessen mit SSL-Verschlüsselung und _ohne_ die Option -Z über ldap **s** :// versuche, klappt es sowohl vom Server als auch vom Client aus! Das könnte ein Anhaltspunkt sein!? Mir ist aber nicht klar, welche Verschlüsselung denn nun gewählt wird!? Bisher war ich von SSL ausgegangen, da in o.g. Script `ldbsearch -k yes -H ldaps:// ` stand, was dann über Port 636 bzw 3269 läuft…!? Wer blickt da besser durch? Vielleicht @mdt? Viele Grüße, Michael ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [29. Dezember 2020 um 12:48 UTC](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694/20 "2020-12-29T12:48:42Z")
Nur als Ergänzung noch ein Querverweis auf > [@Server-Appliance](https://ask.linuxmuster.net/t/server-appliance/3312): > > Hi! Es gibt eine aktualisierte Version der [Server-Appliance](https://github.com/linuxmuster/linuxmuster-base7/wiki/Die-Appliances#server) auf Basis von Ubuntu Server 18.04.2. VG, Thomas Seltsamerweise steht in meiner smb.conf: ```auto [root@server:]$ cat /etc/samba/smb.conf | grep strong ldap server require strong auth = no ``` Laut dem Thread sollte da aber `yes` stehen – könnte das jemand mit seinen Settings vergleichen und hier posten? [Nächste Seite](https://ask.linuxmuster.net/t/bionic-client-adsso-conf-icons-und-verschluesselte-verbindung-mit-zertifkat/6694.md?page=2)