質問: -1新しい証明書(古いcentosマシン)を使用して認証する他のクライアントがいくつかあるため、新しい証明書は機能しています。クライアントのldapでsslを使用できなくなった理由を誰かが知っていますか?
回答: 署名階層はありますか(つまり、自己署名されていません)? 「ワイルドカード」と「自己署名」は排他的ではありません。商用ワイルドカード証明書には、階層、つまり1つ以上の中間caとルートcaがあります。sha-512またはmd5はハッシュ証明書の署名で使用されますが、暗号化アルゴリズムではありません。これらは証明書の整合性を検証するために使用され、接続に使用される暗号はこれとは独立してネゴシエートされます。最も可能性の高い原因は、sha512(より正確には、「sha512withrsaencryption」)がubuntu10でサポートされていないことだと思います。または、マシンに1つ以上のca証明書(中間またはルート)がないため、フルチェーン検証を完了できません。(ubuntu 10マシンで)実行することにより、opensslがサーバーの新しい証明書を処理できるかどうかを確認できます。openssl x509 -in newservercert.crt -noout -text それは決定的ではないかもしれませんが。これも役立つ場合があります。ldapsearch -x -z -v -h your.ldap.server (opensslの代わりにgnutlsが使用される可能性はわずかですが、そこでは役に立ちません。申し訳ありません!)これを/etc/ldap/ldap.confファイルに追加することで、チェーンの問題を確認または拒否できます。tls_reqcert never それが役立つ場合は、チェーンの不足している部分を取得してローカルストアに追加する必要があります。これを実現する方法は、クライアントの構成によって異なり、/ etc/ldap /ldap.confで「tls_cacert」やtls_cacertdirを確認します。ディレクティブはあなたが始めるところです。考えられない原因は次のとおりです。 crlをチェックできない(ldap.confをチェックして、有効になっているかどうかを確認してください) そして、他に何も変わっていないと仮定すると、完全性のために考えられない原因が含まれています。 クライアントでサポートされていないサーバープロトコルバージョンまたは暗号セット サポートされているsaslメカニズムの変更