# Dokuwiki ldaps und startTLS **URL:** \ **Category:** Auth-Extern\ **Created:** [27. Januar 2017 um 12:42 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312 "2017-01-27T12:42:57Z")\ **Posts on this page:** 18\ **Page:** 1
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [27. Januar 2017 um 12:42 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/1 "2017-01-27T12:42:57Z")
Hallo, ich würde gern bei uns ein DokuWiki mit dem LDAP Server der LMN verbinden (am besten per ldaps). Hat das jemand schon erfolgreich am laufen? Ich bin leider noch nicht so weit gekommen ☹ Ich kann mich zwar mit dem LDAP Server vebinden (Port 389, ohne startTLS), aber es kommt die Meldung, dass das Passwort nicht stimmt (was aber nicht der Fall ist…). Was muss ich zusätzlich beachten, wenn ich mich per ldaps und startTLS verbinden will? vG ---
**Author:** ![maxEG](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/maxeg/32/74_2.png) [@maxEG](https://ask.linuxmuster.net/u/maxEG)\ **Post date:** [27. Januar 2017 um 13:15 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/2 "2017-01-27T13:15:28Z")
Hallo! wenn das Wiki auf dem Server laufen soll, gibt es das "portfolio" [https://www.linuxmuster.net/wiki/anwenderwiki:webapps:portfolio](https://www.linuxmuster.net/wiki/anwenderwiki:webapps:portfolio) das verwende ich und es funktioniert super 🙂 LG Max ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [27. Januar 2017 um 13:23 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/3 "2017-01-27T13:23:35Z")
Hallo Stefan, > ich würde gern bei uns ein DokuWiki mit dem LDAP Server der LMN > verbinden (am besten per ldaps). Hat das jemand schon erfolgreich am > laufen? Ich bin leider noch nicht so weit gekommen ☹ Ich kann > mich zwar mit dem LDAP Server vebinden (Port 389, ohne startTLS), aber > es kommt die Meldung, dass das Passwort nicht stimmt (was aber nicht der > Fall ist…). > > Was muss ich zusätzlich beachten, wenn ich mich per ldaps und startTLS > verbinden will? in der Grundeinstewllung nimmt unser slapd nur verschlüsselte Anfragen an. Willst du unbedingt unverschlüsselt, mußt du den slapd umkonfigurieren. VIele Grüeß Holger ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [27. Januar 2017 um 13:59 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/4 "2017-01-27T13:59:25Z")
Genau das habe ich schon gesehen und probiert, aber ich bekomme keine Verbindung zum Server. Unverschlüsselt klappt die Verbindung, aber nicht die Authentifizierung (Danke für den Hinweis @baumhof). Ich probiere es noch mal. DokuWiki läuft bei uns in einem LXD Container auf einem anderen Host. Aber das sollte eigentlich kein Problem sein, da die entsprechenden Ports in der Firewall offen sind 🤔 ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [27. Januar 2017 um 14:01 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/5 "2017-01-27T14:01:39Z")
Danke für den Hinweis. Gibt es in der Grundkonfiguration auch eine Einschränkung, dass die Anfragen nur von `localhost` oder bestimmten Adressbereichen kommen dürfen? ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [27. Januar 2017 um 14:18 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/6 "2017-01-27T14:18:38Z")
Hallo Stefan, > Danke für den Hinweis. Gibt es in der Grundkonfiguration auch eine > Einschränkung, dass die Anfragen nur von |localhost| oder bestimmten > Adressbereichen kommen dürfen? verschlüsselt werden sie von überall angenommen. Schau mal in die /etc/ldap/slapd.conf rein, da wird das konfiguriert: am unteren Ende der Datei. nach Änderungen service slapd restart LG Holger ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [27. Januar 2017 um 15:05 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/7 "2017-01-27T15:05:34Z")
Hallo Holger, OK, da muss ich noch mal schauen. Wenn ich ein ```auto ldapsearch -x -H ldaps://10.16.1.1:636 ``` vom Wiki-Server aus mache, bekomme ich diese Meldung: ```auto ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1) ``` vG ---
**Author:** ![jrichter](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/j/ac91a4/32.png) [@jrichter](https://ask.linuxmuster.net/u/jrichter)\ **Post date:** [27. Januar 2017 um 15:35 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/8 "2017-01-27T15:35:46Z")
Hallo “zefanja”, wenn es mit normalem Ldap geht und mit Ldaps nicht, dann ist fast immer das selbstsignierte Zertifikat schuld. Ist denn sichergestellt, dass der Client (also der Rechner mit dem Wiki) die Zertifikatsprüfung ignoriert? Das wird oft in der Datei /etc/ldap/ldap.conf durch eine Option "TLS\_REQCERT never" geregelt. Ansonsten fällt mir ein: - Steht der Wiki-Rechner in /etc/linuxmuster/workstations? - Steht ldaps oder 636 in der Datei /etc/linuxmuster/allowed\_ports? Beides auf dem Server. Viele Grüße Jörg ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [27. Januar 2017 um 17:39 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/9 "2017-01-27T17:39:51Z")
Versuch’s mal so: ```auto ldapsearch -x -D 'uid=,ou=accounts,dc=linux,dc=lokal' -W -H ldaps://10.16.1.1:636 -b ou=accounts,dc=linux,dc=lokal uid= ``` ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [28. Januar 2017 um 02:29 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/10 "2017-01-28T02:29:21Z")
Hallo Jörg, > [@jrichter](#): > > wenn es mit normalem Ldap geht und mit Ldaps nicht, dann ist fast immer das selbstsignierte Zertifikat schuld. Ist denn sichergestellt, dass der Client (also der Rechner mit dem Wiki) die Zertifikatsprüfung ignoriert? Das wird oft in der Datei /etc/ldap/ldap.conf durch eine Option „TLS\_REQCERT never“ geregelt. das war’s! Danke 👍 > [@jrichter](#): > > - Steht der Wiki-Rechner in /etc/linuxmuster/workstations? > - Steht ldaps oder 636 in der Datei /etc/linuxmuster/allowed\_ports? Ist der erste Punkt wirklich notwendig? Der Rechner steht zwar aktuell drin, aber wird es Zukunft nicht, wenn er in die DMZ ausgelagert wird. Punkt zwei trifft bei uns nicht zu, da wir eine andere Firewalllösung verwenden. Also: Danke noch mal 🙂 vG ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [29. Januar 2017 um 13:03 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/11 "2017-01-29T13:03:56Z")
Hallo, ich habe noch mal ein bisschen probiert, da ich gern `TLS_REQCERT never` bzw. `TLS_REQCERT allow` weglassen würde und möchte das die Verbindung wirklich sicher ist. Hat damit schon mal jemand Erfolg gehabt? Ich habe das CA-Certificate vom Server kompiert und in der `ldap.conf` des Clients angegeben, aber ich bekommen keine Verbindung hin. Die Fehlermeldung lautet: ```auto root@host:~# ldapwhoami -H ldap://10.16.1.1 -x -ZZ ldap_start_tls: Connect error (-11) additional info: TLS: hostname does not match CN in peer certificate ``` Ich habe noch nicht ganz verstanden, was diese Meldung bedeutet und ob der Fehler eher am Server oder am Client liegt. Wie kann ich mir die `cn=config` des LDAP-Servers anschauen, um zu überprüfen, welcher hostname da steht? ---
**Author:** ![jrichter](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/j/ac91a4/32.png) [@jrichter](https://ask.linuxmuster.net/u/jrichter)\ **Post date:** [29. Januar 2017 um 15:46 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/12 "2017-01-29T15:46:48Z")
Hallo “zefanja”, ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [29. Januar 2017 um 15:58 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/13 "2017-01-29T15:58:31Z")
Hallo @jrichter, da kam nur die Begrüßung an… vG ---
**Author:** ![jrichter](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/j/ac91a4/32.png) [@jrichter](https://ask.linuxmuster.net/u/jrichter)\ **Post date:** [29. Januar 2017 um 15:54 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/14 "2017-01-29T15:54:16Z")
Hallo “zefanja”, freut mich, dass es klappt! Ja, die beiden Punkte sind notwendig. Die Firewall, um die es hier geht, ist nicht der IPFire (oder der Ersatz dafür) sondern diejenige, die den Server schützt und auf dem Server läuft. Unter anderem: - dürfen andere Rechner nur auf die in /etc/linuxmuster/allowed\_ports angegebenen Ports des Servers zugreifen - und das auch nur dann, wenn sie in /etc/linuxmuster/workstations stehen. Wenn Du also später Deinen Wiki-Server nach Orange umziehst, dann musst Du da eventuell noch ran. Je nachdem, ob die Anfrage aus Sicht des LML-Servers von der Firewall (diesmal IPFire oder Ersatz) oder vom Wiki-Rechner in Orange kommt muss der jeweilige Rechner in der Workstations-Datei aufgenommen sein. Viele Grüße Jörg ---
**Author:** ![jrichter](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/j/ac91a4/32.png) [@jrichter](https://ask.linuxmuster.net/u/jrichter)\ **Post date:** [29. Januar 2017 um 16:08 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/15 "2017-01-29T16:08:43Z")
Hm, da war wohl der E-Mail-Parser überfordert. Es ging darum herauszufinden, was in einem Zertifikat so drin steht: Das geht auf dem Server mit: ```bash openssl x509 -text -in /etc/ssl/private/server.pem ``` Du musst bei ldapwhoami die IP-Adresse durch den Servernamen ersetzen. Ich würde Dir allerdings empfehlen, gleich auf ein signiertes Zertifikat umzusteigen, das geht wirklich schnell und einfach: [https://www.linuxmuster.net/wiki/anwenderwiki:server:ssl-tls-letsencrypt](https://www.linuxmuster.net/wiki/anwenderwiki:server:ssl-tls-letsencrypt) Herzliche Grüße Jörg ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [30. Januar 2017 um 06:14 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/16 "2017-01-30T06:14:16Z")
Hallo Jörg, danke. Ich schau mir das nochmal genauer an. LetsEncrypt klingt gut, allerdings wollte ich den Server nicht von außen aus erreichbar machen. vG ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [30. Januar 2017 um 09:12 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/17 "2017-01-30T09:12:18Z")
Würde mich auch interessieren … oder macht ihr das so, dass ihr den linuxmuster-Server nur kurz nach außen hin erreichbar macht (zur Erneuerung des Zert.) und danach wieder abschottet?? ---
**Author:** ![zefanja](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/zefanja/32/75_2.png) [@zefanja](https://ask.linuxmuster.net/u/zefanja)\ **Post date:** [1. Februar 2017 um 13:03 UTC](https://ask.linuxmuster.net/t/dokuwiki-ldaps-und-starttls/312/18 "2017-02-01T13:03:54Z")
Hallo Jörg, > [@jrichter](#): > > Du musst bei ldapwhoami die IP-Adresse durch den Servernamen ersetzen. Danke (mal wieder 🙂 ) für den hilfreichen Tipp 👍 Jetzt klappt die Anmeldung auch mit dem Server-Zertifikat! vG