16.04：如何使用 ldapsearch 指定证书颁发机构

Question

我一直在尝试调试 LDAP 连接，因此我ldapsearch通过sudo apt install ldap-utils. 这是命令的输出：

# ldapsearch -x -LLL -H ldaps://myip -d1 -ZZ
ldap_url_parse_ext(ldaps://myip)
ldap_create
ldap_url_parse_ext(ldaps://myip/??base)
ldap_extended_operation_s
ldap_extended_operation
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP myip:636
ldap_new_socket: 4
ldap_prepare_socket: 4
ldap_connect_to_host: Trying myip:636
ldap_pvt_connect: fd: 4 tm: -1 async: 0
attempting to connect: 
connect success
TLS: peer cert untrusted or revoked (0x42)
TLS: can't connect: (unknown error code).
ldap_err2string
ldap_start_tls: Can't contact LDAP server (-1)
    additional info: (unknown error code)

具体来说，我关注这一行： TLS: peer cert untrusted or revoked (0x42)

我做了一些谷歌搜索，发现人们解释说要在名为 的目录中存在的文件中设置此设置/etc/openldap。然而，该目录在计算机上不存在——它似乎不是在安装ldap-utils.

我不知道是否有办法告诉ldapsearch忽略服务器证书的信任级别，或者传递某种 CA。继续进行连接测试的适当解决方案是什么？

Answer 1

将以下行添加到 /etc/ldap/ldap.conf 中：
TLS_REQCERT never

它将阻止 ldapsearch 验证证书。所以不是最安全的选择。您可以指定 CA 证书TLS_CACERT /path/to/trusted/ca