Los siguientes fueron los pasos que tomó para resolver este problema:
Reinicie el servidor en modo seguro (mantenga pulsada la tecla mayús mientras que reiniciar)
Déjelo al ralentí durante un tiempo (al parecer es la limpieza de cachés en este modo)
Detener la existente servidor slapd
sudo launchctl unload /System/Library/LaunchDaemons/org.openldap.slapd.plist
Establece el certificado correcto GUID en el archivo /etc/openldap/slapd_macosxserver.conf. Esto puede ser comprobada a partir de los contenidos de /etc/certificados de directorio
sudo sed -e 's/oldguid/newguid/' /etc/openldap/slapd_macosxserver.conf >/tmp/conffile
sudo mv /tmp/conffile /etc/openldap/slapd_macosxserver.conf
Eliminar la configuración de TLS certificado de valores en el archivo /etc/openldap/slapd.d/cn=config.ldif
sudo vi /etc/openldap/slapd.d/cn=config.ldif
remove any lines beginning with olcTLSCertificate
Iniciar el servidor slapd de nuevo
sudo launchctl load /System/Library/LaunchDaemons/org.openldap.slapd.plist
Reinicie el servidor de nuevo en el modo estándar.
A continuación, desde un equipo cliente con linux o mac osx compruebe que puede conectarse a través de SSL y que los certificados son correctos mediante el comando
openssl s_client -connect ldap.yourdomain:636 -showcerts
Si tiene éxito, usted va a obtener un volcado de los certificados de servidor así como una conexión de descripción del detalle:
No client certificate CA names sent
---
SSL handshake has read 5209 bytes and written 807 bytes
---
New, TLSv1/SSLv3, Cipher is AES256-SHA
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1
Cipher : AES256-SHA
Session-ID: C8E0F4A4ED24021DB4D98ACF5A9ACDC2293BC3961BF2AE90026115D899369E73
Session-ID-ctx:
Master-Key:
Key-Arg : None
PSK identity: None
PSK identity hint: None
SRP username: None
TLS session ticket:
...
Start Time: 1400140597
Timeout : 7200 (sec)
Verify return code: 0 (ok)
Algunas otras notas:
- Apple sugiere que puede utilizar la auto-firmado y certificado
cadenas (http://support.apple.com/kb/ht3745). Yo uso un auto firmado
la cadena de éxito.
- El puerto 636 es el estándar de ldaps puerto y es el puerto utilizado por OpenDirectory (slapd)
- TLS1 se admite como puede verse en el openssl prueba de conexión
- Diferentes nombres DNS de nombres de host y no importa (he probado de las dos maneras con un reinicio entre)
- Diferentes DNS inversa no importa (he probado de las dos maneras con un reinicio entre)
