Externer LDAP Mirror

[dorian]

Hi zusammen,

Ich würde gerne einen externen Mirror unseres ADs erstellen. Der Grund ist ganz einfach: Wir haben in letzter Zeit öfter Internetausfälle, was unsere gesamte Kommunikation lahmlegt. Deshalb ziehe ich unser rocket.chat vermutlich demnächst auf einen gemieteten Server um. Da muss dann aber eben auch ein LDAP Mirror her, sonst funktioniert die Anmeldung natürlich nicht, wenn unser Hauptserver mal nicht erreichbar ist.

Ich meine mich zu erinnern, dass das hier schonmal jemand gemacht hat, finde aber den Thread nicht mehr. Kann mir da jemand einen Tipp geben?

VG, Dorian

[Arnaud]

Hallo Dorian,

Das ist genau bei uns am Wochenende passiert, und damit waren unsere externe Dienste alle down. Eine LDAP-Replikation würde das beheben und auch ermöglichen, den Verkehr am HauptServer entlasten.

Es gibt hier eine Anleitung für die 6.2 : anwenderwiki:erweiterungen:ldap-replikation [CommunityWiki] wahrscheinlich nicht mehr kompatibel mit v7.

Ich muss es auch anschauen, finde aber momentan absolut keine Zeit dafür, und vielleicht kannst du damit anfangen.

Gruß

Arnaud

[baumhof]

Hallo Dorian,

voila:

LDAP -> LDAPS Proxy

Alle verwenden einen LDAP-Server, wir auch, allerdings über die PaedML. Da ich das rumgefummel in den Configs umständlich finde, wollte ich eine LDAPS-Lösung ohne das selbstsignierte Zertifikat der PaedML zu entfernen. Also einen Proxy, der Anfragen an LDAPS an das selbstsignierte LDAPS weiterreicht. Das kann man per nginx machen. Wusste ich bis gestern auch nicht, aber es ist relativ einfach, zumal man auch Let’s Encrypt Zertifikate dafür nutzen kann. Ich habe mir eine CNAME-Domain auf meinen n…

LG

Holger

[Arnaud]

Hallo Holger,

Was du meinst ist ein LDAP-Proxy, um extern eine saubere Lösung um Zertifikat zu steuern, und Dorian spricht von Replikation.

Gruß

Arnaud

[dorian]

Hi,

Danke, @Arnaud Replikation war das Stichwort. Hier ist der Thread:

LDAP-Replikation - Verbindung nicht möglich

Hallo, ich versuche gerade eine LDAP-Replikation aufzusetzen, wie in diesem Wikiartikel beschrieben anwenderwiki:erweiterungen:ldap-replikation [CommunityWiki] Der Consumer ist dabei unsere Root-Server auf dem auch Moodle und Nextcloud installiert sind, und ist vom lmn-Server über das Internet erreichbar. Ich kann auf dem Consumer via ldapsearch -x -b "dc=meineschule,dc=lokal" -H ldaps://ldaps.meineschule-meinestadt.de:636 Einträge aus dem LDAP abrufen. Auch Moodle und nextcloud machen Ihre…

Da steht nur leider nichts Genaueres, ich werd mal nachfragen.

VG, Dorian

[dorian]

Hab grad das hier gefunden und werde es mal testen:

GitHub - osixia/docker-openldap: A docker image to run OpenLDAP 🐳 - Multi master replication

[baumhof]

Hallo Arnaud,

… mein Fehler
LG

Holger

[Arnaud]

@baumhof

… mein Fehler

… und das ist nicht so tragish

Gruß

Arnaud

[tjordan]

So falsch war die Idee von Holger nicht…man braucht schon einen externen Proxy der per DNS auflösbar ist und die LDAP-Anfragen an den internen und externen LDAP-Server verteilt. Sonst bringen redundante LDAP-Server nichts.

Gruß
Thomas

P.S. Und ja…der Proxy kann dann auch gleich das SSL-Offloading für LDAPS mit übernehmen
PP.S. Einschränkung: Ja, man braucht den Proxy nicht, wenn alle externen Dienste, die das AD abfragen, den externen LDAP-Server abrufen. Ist aber nicht so elegant wie ein Offsite HA-Proxy der das Onsite und Offsite AD abruft, SSL-Offloading und Lastverteilung macht.

[Jesko]

Mit loadbalancing-light wäre natürlich sehr elegant, aber mir würde im ersten Schritt schon reichen, eine Replikation außerhalb des Schulnetzes zu haben.
Alle Ausfälle, die wir bisher beim Anmelden in Kauf nehmen mussten, hatten ihre Ursache in der Schule und als ich (noch mit lmn6) außerhalb zwei LDAP-Replikas hatte, die beide bei moodle, nextcloud usw eingetragen waren, konnten mir die Elektriker abschalten, was sie wollten und es hat dennoch alles (außerhalb) funktioniert.

die Frage ist aber, ob sich unser AD so leicht irgendwohin replizieren lässt wie der openldap der lmn6. Man bräuchte ja nur die Nutzer/Password… aber dafür hab ich (viel) zu wenig Ahnung davon.

Ich wäre auf jeden Fall Kunde
LG Jesko

[tjordan]

Hallo Jesko,

im Prinzip bräuchte man nur einen zweiten (Offsite) DC. Die Replizierung erfolgt untereinander automatisch. Der Rest sind Firewall-Regeln.

[dorian]

Hi @tjordan

Das scheint zu klappen, einfach

1. apt install samba
2. samba-tool domain join linuxmuster.lan DC -U"LINUXMUSTER\global-admin"

Und das wars
Die Frage ist nur: mach ich damit irgendwas kaputt?

VG, Dorian

[tjordan]

Hallo Dorian,

wir betreiben ein Setup mit einem zusätzlichen DC für LDAPS-Loadbalancing und nutzen dafür den HA-Proxy auf der opnSense. Das hat bislang gut funktioniert.

Viele Grüße
Thomas

[dorian]

Hi,

Hat hier noch jemand dran Intresse? Ich habe es jetzt soweit, dass ich einen Docker container dafür bauen könnte, wenn es Bedarf gibt.

VG, Dorian

[Jesko]

Absolut!
Ich hätte das gerne wieder!
Von mir ein dickes Daumen hoch!
Liebe Grüße Jesko

[dorian]

Bin leider doch noch nicht so weit wie ich dachte. Ich scheiter nach erfolgreichem Join hieran:

$ samba-tool drs showrepl
ERROR(runtime): DsReplicaGetInfo of type 0 failed - (8453, 'WERR_DS_DRA_ACCESS_DENIED')

Hat jemand eine Idee?

VG, Dorian

[tjordan]

Hallo Dorian,

wenn das ein RODC ist, muss man einen Benutzer aus der Domain Admins Gruppe mit dem Parameter -U (z.B. samba-tool drs showrpl -U global-admin) mitgeben.

Viele Grüße
Thomas

[dorian]

Hi Thomas,

Ahaa, danke, das war es! Jetzt sieht es so aus:

/ # samba-tool drs showrepl -Uglobal-admin
Password for [LINUXMUSTER\global-admin]:
Default-First-Site-Name\SERVER-EXTERN
DSA Options: 0x00000025
DSA object GUID: 2483446f-534f-4038-a959-7b562f0f63e7
DSA invocationId: cbf51d8d-a191-4cda-8ba1-1b13de3c019c

==== INBOUND NEIGHBORS ====

==== OUTBOUND NEIGHBORS ====

==== KCC CONNECTION OBJECTS ====

Connection --
        Connection name: RODC Connection (FRS)
        Enabled        : TRUE
        Server DNS name : server.linuxmuster.lan
        Server DN name  : CN=NTDS Settings,CN=SERVER,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=linuxmuster,DC=lan
                TransportType: RPC
                options: 0x00000041
Warning: No NC replicated for Connection!

Passt das?

VG, Dorian

[dorian]

Ich habe aber immernoch ein Problem:
Ich kann mich mit ldapserch nicht am ldap des RODC anmelden:

ldap_bind: Invalid credentials (49)
        additional info: 80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 47, v1db1

Derselbe ldapsearch Befehl funktioniert aber am Schulserver. Woran könnte das liegen?

BG, Dorian

[tjordan]

Hallo Dorian,

der Fehler lautet Invalid credentials…gib auch dem ldapsearch mal einen binduser mit.

Gruß
Thomas