TLS：主机名与对等证书中的 CN 不匹配

Question

我试图通过 StartTLS 连接 LDAP，但我遇到了一个问题。我已经逐步遵循本指南https://help.ubuntu.com/12.04/serverguide/openldap-server.html#openldap-tls和 LDAP 它工作正常以及“ldapsearch -xZZ -h 172.25.80.144”在我的 Ubuntu 服务器 12.04 上

但是，在我的 Ubuntu 桌面 11.04 客户端中，我收到此错误：

ldapsearch -x -H 172.25.80.144 -ZZ 
ldap_start_tls: Connect error (-11)
                additional info: **TLS: hostname does not match CN in peer certificate**

服务器 /etc/ldap/ldap.conf

 BASE dc=prueba,dc=borja
 URI  ldap://prueba.borja
 SIZELIMIT 12
 TIMELIMIT 15
 DEREF     never
 TLS_CACERT /etc/ssl/certs/ca-certificates.crt

客户端 /etc/ldap.conf

 ssl start_tls
 tls_checkpeer no

/etc/ldap/ldap.conf

 BASE dc=prueba,dc=borja
 URI  ldap://prueba.borja
 SIZELIMIT 12
 TIMELIMIT 15
 DEREF never
 TLS_REQCERT allow

谁能告诉我如何解决这个问题？我认为主机名没问题。

谢谢！

Answer 1

尝试

TLS_REQCERT never

在 /etc/ldap/ldap.conf 中。这将阻止检查证书。请注意，它使连接更加不安全。

/etc/ldap.conf 不应影响 ldapsearch(1)

还可以尝试在命令行上删除第二个 -Z。即使您有 TLS_REQCERT 允许，这也可能是导致失败的原因。