OpenLDAP配置TLS加密传输

#理论上只需要 openssl 与 openssl-devel
yum install *openssl* -y

在 OpenLDAP 的 home 目录创建 1 个子目录，后续操作均在此目录进行
[root@localhost ~]# cd /usr/local/openldap-2.4.44
[root@localhost openldap-2.4.44]# mkdir -p certs
[root@localhost openldap-2.4.44]# cd certs/

#带上”-des3”参数时，创建的私钥采取 Triple DES 算法加密，命令执行后会要求输入密码，这样后续在调用此密钥时都会要求输入密码，如“openssl genrsa -des3 -out ca-key.pem 2048”，这里为了方便省略此参数
[root@localhost certs]# openssl genrsa -out cakey.pem 2048

#可以查看生成的 rsa 私钥
[root@localhost certs]# openssl rsa -noout -text -in cakey.pem

#option 选项，基于安全性考虑，建议修改根密钥权限为 600 或 400
[root@localhost certs]# chmod 600 cakey.pem

#利用 req 命令与 CA 根证书生成自签署的根证书，证书有效期 1 年；
#生成证书时，上方红色粗体字部分是要求输入的信息，其中需要注意的是”Common Name”请填写服务器域或 IP
[root@localhost certs]# openssl req -new -x509 -days 365 -key cakey.pem -out ca.crt
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CN
State or Province Name (full name) []:Sichuan
Locality Name (eg, city) [Default City]:Chengdu
Organization Name (eg, company) [Default Company Ltd]:SYS
Organizational Unit Name (eg, section) []:IT
Common Name (eg, your name or your server's hostname) []:172.18.12.203
Email Address []:xxx@sys.com

#可以查看生成的根证书
[root@localhost certs]# openssl x509 -noout -text -in ca.crt

#同上，可带 "-des3" 参数，同步骤(1)
[root@localhost certs]# openssl genrsa -out ldapkey.pem 2048

#请求文件需要发给 CA 中心签署生成证书，相当于公钥；
#同步骤 (2) 会要求输入一些信息，相对于步骤 (2) 额外的信息可忽略
[root@localhost certs]# openssl req -new -key ldapkey.pem -out ldapserver.csr

#查看请求文件
[root@localhost certs]# openssl req -noout -text -in ldapserver.csr

#如果 CA 中心准备工作已经做好，此步可跳过。
[root@localhost certs]# cp /etc/pki/tls/openssl.cnf ./
[root@localhost certs]# mkdir -p newcerts
[root@localhost certs]# touch index.txt
[root@localhost certs]# echo "00" > serial

#修改第 42 行，证书生成配置文件的工作目录”dir    =/etc/pki/CA”修改为当前配置文件工作的目录，如下：
[root@localhost certs]# vim openssl.cnf
42 dir             = /usr/local/openldap-2.4.44/certs

#需要将 OpenLDAP 服务器生成的 csr 请求文件发给 CA 中；
#生成证书会有两次确认，”y”即可;
#如果重新签署证书，需要先将 index.txt 的内容用 index.txt.old 还原
[root@localhost certs]# openssl ca -days 365 -cert ca.crt -keyfile cakey.pem -in ldapserver.csr -out ldapserver.crt -config openssl.cnf

#主要涉及 CA 中心的证书，CA 中心为 OpenLDAP 服务器签署的证书与私钥
[root@localhost certs]# mkdir -p /usr/local/openldap-2.4.44/etc/openldap/cacerts
[root@localhost certs]# cp ca.crt /usr/local/openldap-2.4.44/etc/openldap/cacerts
[root@localhost certs]# cp ldapserver.crt /usr/local/openldap-2.4.44/etc/openldap/
[root@localhost certs]# cp ldapkey.pem /usr/local/openldap-2.4.44/etc/openldap/

#可以在文件最后添加步骤 (7) 中证书 / 密钥的工作路径
[root@localhost certs]# cd /usr/local/openldap-2.4.44/etc/openldap/
[root@localhost openldap]# vim slapd.conf
TLSCACertificateFile /usr/local/openldap-2.4.44/etc/openldap/cacerts/ca.crt
TLSCertificateFile /usr/local/openldap-2.4.44/etc/openldap/ldapserver.crt
TLSCertificateKeyFile /usr/local/openldap-2.4.44/etc/openldap/ldapkey.pem

#”-d 256”是为 debug，后台运行不需要；
[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -h“ldaps://0.0.0.0:636/”-d 256

#或者：[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -h“ldaps:///”-d 256

#或者同时启动 389 与 636 端口：[root@localhost ~]# /usr/local/openldap-2.4.44/libexec/slapd -h“ldap:/// ldaps:///”-d 256

[root@localhost ~]# netstat –tunlp