ADに接続する必要があるrabbitmqサーバーがあります。
構成はpuppetrabbitmqモジュールを使用して設定されますが、手動でいくつかの小さな変更が加えられています(ログレベル)。
% This file managed by Puppet
% Template Path: rabbitmq/templates/rabbitmq.config
[
{rabbit, [
{auth_backends, [rabbit_auth_backend_internal, rabbit_auth_backend_ldap]},
{tcp_listen_options,
[binary,
{packet, raw},
{reuseaddr, true},
{backlog, 128},
{nodelay, true},
{exit_on_close, false}]
},
{default_user, <<"guest">>},
{default_pass, <<"guest">>}
]},
{kernel, [
]}
,
{rabbitmq_management, [
{listener, [
{port, 15672}
]}
]}
,
% Configure the LDAP authentication plugin
{rabbitmq_auth_backend_ldap, [
{other_bind, anon},
{servers, ["ldap"]},
{user_dn_pattern, "CN=Rabbitmq LDAP User,OU=Service Accounts,DC=very,DC=chill,DC=domain"},
{use_ssl, false},
{port, 389},
{log, network}
]}
].
% EOF
管理プラグインのWebコンソールにログインしようとしたときのエラーログ:
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP CHECK: login for myuser
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP filling template "CN=Rabbitmq LDAP User,OU=Service Accounts,DC=very,DC=chill,DC=domain" with
[{username,<<"myuser">>}]
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP template result: "CN=Rabbitmq LDAP User,OU=Service Accounts,DC=very,DC=chill,DC=domain"
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP connecting to servers: ["ldap.very.chill.domain"]
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP network traffic: Connect: "ldap.very.chill.domain" failed {error,
eacces}
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP connect error: {error,"connect failed"}
=INFO REPORT==== 18-Dec-2015::18:01:03 ===
LDAP DECISION: login for myuser: {error,"connect failed"}
=ERROR REPORT==== 18-Dec-2015::18:01:03 ===
webmachine error: path="/api/whoami"
"Unauthorized"
これにより、ADのサーバー側にログが残らなかったため、tcpdumpを実行しました。
tcpdump -nnS -i ens160 | grep -vi arp | grep ldap.server.ip
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on ens160, link-type EN10MB (Ethernet), capture size 65535 bytes
これは、ldap:389ポートに送信されたパケットがないことを示しています。
そこで、ネットワークに問題がないことを確認するために、rabbitサーバーマシンからこれを実行しました。
ldapsearch -x -h 'ldap.very.chill.domain' -p 389 -w "VerySec*" -D "CN=Rabbitmq LDAP User,OU=Service Accounts,DC=very,DC=chill,DC=domain" -b "DC=very,dc=chill,dc=domain"
このクエリ中のtcpダンプは、389に送信されたパケットがあり、クエリが成功したことを示しました。
したがって、私の想定では、rabbitmq configには、LDAPサーバーの方向にパケットを送信しようとさえしない何かがあります。
手がかりがあればありがたいです。
SELinuxはデフォルトで、ほとんどのデーモンがアウトバウンドに接続するのをブロックします。 RHEL 7では、これらのポリシーはより具体的になりました(場合によってはより制限的になりました)。
setenforce 0
を実行してテストし、それが機能する場合は、sealert
を使用して/var/log/audit/audit.log
ファイルを分析し、実行するアクションのコースを決定します。 SELinuxのCentOSwikiページは、おそらくインターネット上で最高のSELinuxリソースです: https://wiki.centos.org/HowTos/SELinux