LDAP Auth dauert ewig

[~Gh05t~]

Hallo zusammen,
ich habe nun einen Tag (!) zugebracht um meinen LDAP von Ubuntu 8.04 auf 9.10 zu portieren.
Leider ist die Leistung nicht sehr pralle, das Login an der Konsole dauert ungefähr 8 Sekunden. Im syslog erscheint (etwa im Sekundenabstand):


Apr 1 17:46:23 hyperion slapd[9738]: slapd starting
Apr 1 17:46:33 hyperion slapd[9738]: conn=1 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:34 hyperion slapd[9738]: conn=2 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:35 hyperion slapd[9738]: conn=3 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:36 hyperion slapd[9738]: conn=4 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:37 hyperion slapd[9738]: conn=5 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:38 hyperion slapd[9738]: conn=6 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:39 hyperion slapd[9738]: conn=7 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"
Apr 1 17:46:40 hyperion slapd[9738]: conn=8 op=0 do_extended: unsupported operation "1.3.6.1.4.1.1466.20037"

Das Login geschieht nachdem der letzte Log erschienen ist, dann steht in der ersten Zeile der Konsole:


Failed to modify entry for user testuser.
...

Hat jemand ne Idee was das ist? Operation "1.3.6.1.4.1.1466.20037" ist der Versuch eines TLS-Handshakes, aber ich habe SSL/TLS überall deaktiviert oder jedenfalls nicht aktiviert. Jemand ne Idee?


Meine ldap.conf:


BASE dc=home,dc=com
URI ldap://127.0.0.1

#SIZELIMIT 12
#TIMELIMIT 15
#DEREF never

#nss_ldap
rootbinddn cn=admin,dc=home,dc=com
nss_base_passwd ou=Users,dc=home,dc=com
nss_base_shadow ou=Users,dc=home,dc=com
nss_base_group ou=Groups,dc=home,dc=com

und nsswitch.conf


passwd: compat ldap
group: compat ldap
shadow: compat ldap

hosts: files dns
networks: files

protocols: db files
services: db files
ethers: db files
rpc: db files

slap.conf hat sich seit cn=config wohl erledigt... wenn da jemand interesse dran hat poste ich n slapcat.
Danke für die Infos,
Gruß

Lukas

[mamue]

Compat beinhaltet ldap, AFAIK. Also entweder files ldap oder compat.
Kann es sein, dass die User ihren eigenen Eintrag nicht ändern dürfen, also nicht modify für self definiert ist?
Wie sehen denn ansonsten die Zeiten für getent passwd und ldapsearch aus? Die sind OK, nehme ich an (sollten schneller durchhuschen, als man lesen kann).

HTH
mamue

[~Gh05t~]

Also, Ldap an sich ist sehr schnell (ldapsearch etc. auf der konsole).
Langsam sind sämtliche Authentifizierungsabläufe (egal wo), also ist wohl PAM-Ldap oder NSS-Ldap das Problem. Die ldap-auth-config ist aber eigentlich auch richtig (ohne TLS)...

Die Zugriffe sollten eigentlich auch korrekt gesetzt sein. Hier doch mal die slap-Config:


$ ldapsearch -xLLL -b cn=config -D cn=admin,cn=config -W olcDatabase={1}hdb
Enter LDAP Password:
dn: olcDatabase={1}hdb,cn=config
objectClass: olcDatabaseConfig
objectClass: olcHdbConfig
olcDatabase: {1}hdb
olcDbDirectory: /var/lib/ldap
olcSuffix: dc=home,dc=com
olcAccess: {0}to attrs=userPassword,shadowLastChange,sambaNTPasswor d,sambaLMPa
ssword by dn="cn=admin,dc=home,dc=com" write by anonymous auth
by self write by * none
olcAccess: {1}to dn.base="" by * read
olcAccess: {2}to * by dn="cn=admin,dc=home,dc=com" write by * read
olcLastMod: TRUE
olcRootDN: cn=admin,dc=home,dc=com
olcRootPW: meinpw
olcDbCheckpoint: 512 30
olcDbConfig: {0}set_cachesize 0 2097152 0
olcDbConfig: {1}set_lk_max_objects 1500
olcDbConfig: {2}set_lk_max_locks 1500
olcDbConfig: {3}set_lk_max_lockers 1500
olcDbIndex: uid pres,eq
olcDbIndex: uniqueMember,uidNumber,gidNumber,memberUid eq
olcDbIndex: cn,sn,mail pres,eq,approx,sub
olcDbIndex: objectClass eq
olcDbIndex: sambaSID eq
olcDbIndex: sambaPrimaryGroupSID eq
olcDbIndex: sambaDomainName eq

Bzgl. nsswitch.conf: wenn ich ldap rausnehme gehts gar nicht mehr, compat reicht nicht!

[mamue]

Das sieht soweit eigentlich gut aus. Geht statt "compat ldap" auch "files ldap"?
Während der Tests übrigens bitte daran denken, den nscd zu stoppen.
Ansonsten vielleicht mal den Debuglevel auf 256 (log search filter) setzen. Vielleicht gibt das irgend eine erhellende Auskunft.

mamue

[~Gh05t~]

also, ich hab noch mal alles neu gemacht, nun gehts relativ schnell. Der Fehler kommt aber immer noch. Keine Ahnung warum :(