LDAP Linux Replication
Материал из noname.com.ua
ТУт заметки о репликации
Все действия выполняются на обоих серверах если не сказано другое
Важное замечание
Так как после настройки репликации сервера будут иметь на 100 процентов одинаковый конфиг и при этом используются сертефикаты с разными именами может возникнуть ситуация когда на одном из серверов в конфиге окажется настройка вида
olcTLSCertificateFile: /etc/ldap/ssl/ldap1.crt olcTLSCertificateKeyFile: /etc/ldap/ssl/ldap1.key
при этом таких файлов не будет. Это возникнет когда на ldap2 реплецируются настройки с ldap1
Обратная ситуация так же возможна.
Что бы избежать этой ситуации можно
- назвать файлы одинаково и изменить настойку TLS
- сделать на обоих серверах символические ссылки
# ls -lsa /etc/ldap/ssl/ total 16 4 dr-x------ 2 openldap openldap 4096 May 26 13:57 . 4 drwxr-xr-x 6 root root 4096 May 26 13:49 .. 4 -r-------- 1 openldap openldap 2199 May 26 10:30 ldap1.crt 4 -r-------- 1 openldap openldap 3247 May 26 10:30 ldap1.key 0 lrwxrwxrwx 1 root root 9 May 26 13:57 ldap2.crt -> ldap1.crt 0 lrwxrwxrwx 1 root root 9 May 26 13:57 ldap2.key -> ldap1.key
ldap2# ls -lsa /etc/ldap/ssl/ total 16 4 dr-x------ 2 openldap openldap 4096 May 26 13:57 . 4 drwxr-xr-x 6 root root 4096 May 26 11:46 .. 0 lrwxrwxrwx 1 root root 9 May 26 13:56 ldap1.crt -> ldap2.crt 0 lrwxrwxrwx 1 root root 9 May 26 13:57 ldap1.key -> ldap2.key 4 -r-------- 1 openldap openldap 2199 May 26 11:33 ldap2.crt 4 -r-------- 1 openldap openldap 3243 May 26 11:33 ldap2.key
Если этого не сделать то репликация развалиться после того как эти записи будут синхронизированы и slapd не сможет стартовать с ошибкой
# /usr/sbin/slapd -h "ldaps://ldap1 ldapi:///" -g openldap -u openldap -F /etc/ldap/slapd.d -4 -d 4 <SKIP> 5746fed2 2.5.13.0 (objectIdentifierMatch): 5746fed2 matchingRuleUse: ( 2.5.13.0 NAME 'objectIdentifierMatch' APPLIES ( supportedControl $ supportedExtension $ supportedFeatures $ supportedApplicationContext ) ) 5746fed2 main: TLS init def ctx failed: -1 5746fed2 slapd destroy: freeing system resources. 5746fed2 syncinfo_free: rid=001 5746fed2 slapd stopped. 5746fed2 connections_destroy: nothing to destroy. root@node-3:/etc/ldap# /usr/sbin/slapd -h "ldaps://ldap1 ldapi:///" -g openldap -u openldap -F /etc/ldap/slapd.d -4 -d 2 5746fee7 @(#) $OpenLDAP: slapd (Ubuntu) (Sep 15 2015 18:19:13) $ buildd@lgw01-53:/build/openldap-2QUgtL/openldap-2.4.31/debian/build/servers/slapd 5746fee7 main: TLS init def ctx failed: -1 5746fee7 slapd stopped. 5746fee7 connections_destroy: nothing to destroy.
cn=config replication
Load Extention
- Загрузить расширение
0001_loadSyncProvModule.ldif
dn: cn=module{0},cn=config
changetype: modify
add: olcModuleLoad
olcModuleLoad: syncprov
ldapmodify -Y EXTERNAL -H ldapi:// < 0001_loadSyncProvModule.ldif
Set Server ID
Разные ID на разных серверах
- Server ID
- ldap1 : 1
0003_setServerID.ldif
dn: cn=config changeType: modify add: olcServerID olcServerID: 1
-
- ldap2: 2
0003_setServerID.ldif
dn: cn=config changeType: modify add: olcServerID olcServerID: 2
ldapmodify -Y EXTERNAL -H ldapi:// < 0003_setServerID.ldif
Set credentials
- Root DN and Root PW
0004_setConfigDB_rootDN
dn: olcDatabase={0}config,cn=config
changeType: modify
add: olcRootDN
olcRootDN: cn=admin,cn=config
0004_setConfigDB_rootPW
dn: olcDatabase={0}config,cn=config
changeType: modify
add: olcRootPW
olcRootPW: r00tme
ldapmodify -Y EXTERNAL -H ldapi:// < 0004_setConfigDB_rootPW ldapmodify -Y EXTERNAL -H ldapi:// < 0004_setConfigDB_rootDN
Add ServerID
ldaps - по тому что шифрование но нужно ли это?
0006_addConfigReplication.ldif
dn: cn=config changetype: modify replace: olcServerID olcServerID: 1 ldaps://ldap1 olcServerID: 2 ldaps://ldap2
ldapmodify -Y EXTERNAL -H ldapi:// <0006_addConfigReplication.ldif
Add Overlay
<0007_addSyncProv.ldif
dn: olcOverlay=syncprov,olcDatabase={0}config,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
ldapmodify -Y EXTERNAL -H ldapi:// <0007_addSyncProv.ldif
Replica Config
0008_addSyncRepl.ldif
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=001 provider=ldaps://ldap1 binddn="cn=admin,cn=config" bindmethod=simple credentials=r00tme searchbase="cn=config" type=refreshAndPersist retry="5 5 300 5" timeout=1 tls_reqcert=allow tls_cacert=/etc/ssl/certs/rootca.crt
olcSyncRepl: rid=002 provider=ldaps://ldap2 binddn="cn=admin,cn=config" bindmethod=simple credentials=r00tme searchbase="cn=config" type=refreshAndPersist retry="5 5 300 5" timeout=1 tls_reqcert=allow tls_cacert=/etc/ssl/certs/rootca.crt
-
add: olcMirrorMode
olcMirrorMode: TRUE
ldapmodify -Y EXTERNAL -H ldapi:// <0008_addSyncRepl.ldif
Test Replica
Add something in LDAP cn=config, olcServerID: 3 ldaps://test.test1.tld on ldap1 and olcServerID: 3 ldaps://test.test2.tld on ldap2
Add on ldap1
dn: cn=config changetype: modify replace: olcServerID olcServerID: 1 ldaps://ldap1 olcServerID: 2 ldaps://ldap2 olcServerID: 3 ldaps://test.test1.tld
ldapmodify -Y EXTERNAL -H ldapi:// < 0009_testConfigReplication_ldap1.ldif
On Ldap1 and Ldap2
slapcat -b cn=config | grep --color test olcServerID: 3 ldaps://test.test1.tld
Add on ldap2
0009_testConfigReplication_ldap2.ldif
dn: cn=config changetype: modify replace: olcServerID olcServerID: 1 ldaps://ldap1 olcServerID: 2 ldaps://ldap2 olcServerID: 3 ldaps://test.test2.tld
ldapmodify -Y EXTERNAL -H ldapi:// < 0009_testConfigReplication_ldap2.ldif
slapcat -b cn=config | grep --color test olcServerID: 3 ldaps://test.test2.tld
So replication is works and all data from ldap1 is replicated to ldap2 and back.
Restore Original settings
ldapmodify -Y EXTERNAL -H ldapi:// < 0006_addConfigReplication.ldif
