将 StartTLS 与 System.DirectoryServices 中的 LDAP 结合使用

Question

我正在尝试连接到需要 StartTLS 的 LDAP 服务器，但没有运气 - 每当我使用 SessionOptions.StartTransportLayerSecurity(..) 或将 SessionOptions.SecureSocketLayer 设置为 true 时，我都会遇到异常。

这是我正在使用的代码：

using (var connection = new LdapConnection(new LdapDirectoryIdentifier(config.LdapServer, config.Port, false, false)))
{
    connection.SessionOptions.ProtocolVersion = 3;
    connection.Credential = new NetworkCredential(config.BindDN, config.BindPassword);
    connection.SessionOptions.VerifyServerCertificate += (conn, cert) => {return true;};
    connection.AuthType = AuthType.Basic;
    //connection.SessionOptions.SecureSocketLayer = true;
    connection.SessionOptions.StartTransportLayerSecurity(null); // throws here, same if done after bind.
    connection.Bind();

    ... do stuff with connection
}

生成的异常是“TlsOperationException：发生未指定的错误”，该异常在调用 StartTransportLayerSecurity 方法时发生。

我已经针对 OpenLDAP 服务器和 Active Directory 测试了代码，但都不起作用。

有谁知道如何让 StartTLS 与 System.DirectoryServices 一起使用？

Answer 1

请阅读本主题：
通过 TLS/SSL 加密连接进行绑定

示例 19. 绑定到使用基本身份验证和 SSL/TLS 的安全端口 50001 上的 ADAM 实例

string hostNameAndSSLPort = "sea-dc-02.fabrikam.com:50001";
string userName = "cn=User1,cn=AdamUsers,cn=ap1,dc=fabrikam,dc=com";
string password = "adamPassword01!";

// establish a connection
LdapConnection connection = new LdapConnection(hostNameAndSSLPort);

// create an LdapSessionOptions object to configure session 
// settings on the connection.
LdapSessionOptions options = connection.SessionOptions;

options.ProtocolVersion = 3;

options.SecureSocketLayer = true;

connection.AuthType = AuthType.Basic;

NetworkCredential credential =
        new NetworkCredential(userName, password);

connection.Credential = credential;

try
{
    connection.Bind();
    Console.WriteLine("\nUser account {0} validated using " +
        "ssl.", userName);

    if (options.SecureSocketLayer == true)
    {
        Console.WriteLine("SSL for encryption is enabled\nSSL information:\n" +
        "\tcipher strength: {0}\n" +
        "\texchange strength: {1}\n" +
        "\tprotocol: {2}\n" +
        "\thash strength: {3}\n" +
        "\talgorithm: {4}\n",
        options.SslInformation.CipherStrength,
        options.SslInformation.ExchangeStrength,
        options.SslInformation.Protocol,
        options.SslInformation.HashStrength,
        options.SslInformation.AlgorithmIdentifier);
    }

}
catch (LdapException e)
{
    Console.WriteLine("\nCredential validation for User " +
        "account {0} using ssl failed\n" +
        "LdapException: {1}", userName, e.Message);
}
catch (DirectoryOperationException e)
{
    Console.WriteLine("\nCredential validation for User " +
    "account {0} using ssl failed\n" +
    "DirectoryOperationException: {1}", userName, e.Message);
}

下一个示例显示“如何使用 TLS 进行身份验证并执行任务”

string hostOrDomainName = "fabrikam.com";
string userName = "user1";
string password = "password1";

// establish a connection to the directory
LdapConnection connection = new LdapConnection(hostOrDomainName);

NetworkCredential credential =
    new NetworkCredential(userName, password, domainName);

connection.Credential = credential;

connection.AuthType = AuthType.Basic;

LdapSessionOptions options = connection.SessionOptions;

options.ProtocolVersion = 3;

try
{
    options.StartTransportLayerSecurity(null);
    Console.WriteLine("TLS started.\n");
}
catch (Exception e)
{
    Console.WriteLine("Start TLS failed with {0}", 
        e.Message);
    return;
}

try
{
    connection.Bind();
    Console.WriteLine("Bind succeeded using basic " +
        "authentication and SSL.\n");

    Console.WriteLine("Complete another task over " +
        "this SSL connection");
    TestTask(hostName);
}
catch (LdapException e)
{
    Console.WriteLine(e.Message);
}

try
{
    options.StopTransportLayerSecurity();
    Console.WriteLine("Stop TLS succeeded\n");
}
catch (Exception e)
{
    Console.WriteLine("Stop TLS failed with {0}", e.Message);
}

 Console.WriteLine("Switching to negotiate auth type");
 connection.AuthType = AuthType.Negotiate;

 Console.WriteLine("\nRe-binding to the directory");
 connection.Bind();

// complete some action over this non-SSL connection
// note, because Negotiate was used, the bind request 
// is secure. 
// run a task using this new binding
TestTask(hostName);

Answer 2

过去存在大量微妙的 LDAP 堆栈不兼容性，这仍然可能适用于您的客户可能正在使用的潜在遗留场景。

以下是有关 OpenLDAP 和 Microsoft LDAP 堆栈之间不兼容性的最常见问题（一旦有更多信息，我将修改和/或替换这些链接）：

• OpenLDAP StartTLS 问题(ITS#3037)（总结于 关于让 OpenLDAP 和 Windows LDAP 互操作）已触发相应的修补程序：
  • 您无法从运行 Windows Server 2003、Windows XP 或 Windows Vista 的计算机发送启动 TLS 请求到运行 OpenLDAP 软件的服务器
• 通过以下方式发送到 LDAP 服务器的扩展操作应用程序编程接口通过 LDAP 服务导致协议错误

显然，更新 OpenLDAP 和/或 Windows（当然最好是两者）应该可以解决这些问题（如果事实证明它们是罪魁祸首）。

祝你好运！

Answer 3

在对这个问题进行更多工作后，我发现我遇到了几个问题：

1. 代码中存在一个错误，在我们的测试中连接到 AD 时，端口号被错误地更改为 SSL 端口 (636)套房（哦！）。
2. OpenLDAP 测试服务器（这是我们客户的副本）使用的是 openldap-2.4.18 - 该服务器存在 StartTLS 的已知问题。

对 OpenLDAP 应用补丁后（如此处所述 - http://www. openldap.org/lists/openldap-bugs/200405/msg00096.html）我们能够修复#2 - 此时我们开始得到不同的结果错误“发生本地错误”。

虽然最初我们有这段代码：

connection.SessionOptions.VerifyServerCertificate 
    += (conn, cert) => {return true;};

我们在测试时删除了它，并且因为 OpenLDAP 服务器使用自签名证书，所以它不在受信任的存储中。重新引入该回调解决了这个问题，尽管我们现在将其设置为可配置选项，即“验证服务器证书是/否”，因此客户需要选择跳过检查（主要供我们的 QA 团队使用）。

感谢 Steffen 为我指明了 OpenLDAP 版本的方向，这使我找到了这个解决方案。