<div dir="ltr">This is all great feedback. Thanks everyone. I&#39;m trying to figure out how to grab a copy of the SEGFAULT core for SSSD which I will provide as an attachment back to this conversation when I figure out how to extract it.<div>

<br></div><div style>I noticed that providers/ldap/ldap_common.c:855 automatically uses SSS_LDAP_SRV_NAME to construct the LDAP uri on discovery which is statically set (providers/ldap/ldap_common.h:36) to &quot;ldap&quot; and is very problematic if ldap is supposed to be ldaps in the uri.</div>

<div style><br></div><div style>Why this combination might lead to a SEGFAULT is still a bit of a mystery to me so I&#39;ll try to find the additional troubleshooting information.</div><div style><br></div><div style>As pointed out to me in a couple of the other responses TLS and not SSL is probably the better way to go which is surprising to me but admittedly I am new to the LDAP security world and that will give me something to research more deeply. Does SSSD cater more to the TLS + LDAP combination?</div>

<div style><br></div><div style>My hope was to see how far I could get with a fairly secure Kerberos + LDAP combination that could (mostly) automatically be pushed to the clients (SSSD) with as little configuration as possible. Initially LDAPS seemed to make sense and SRV records for DNS Discovery also seemed like a decent choice.</div>

</div><div class="gmail_extra"><br clear="all"><div><font face="tahoma, sans-serif"><div><font face="tahoma, sans-serif"><br></font></div>Joshua Riffle</font><div><font face="tahoma, sans-serif">Software Engineer<br></font><div>

<font color="#CC0000" face="tahoma, sans-serif"><b>Azusa Pacific University</b></font></div></div></div>
<br><br><div class="gmail_quote">On Fri, May 10, 2013 at 8:17 AM, Simo Sorce <span dir="ltr">&lt;<a href="mailto:simo@redhat.com" target="_blank">simo@redhat.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div class="im">On Fri, 2013-05-10 at 10:40 +0200, Jakub Hrozek wrote:<br>
&gt; On Fri, May 10, 2013 at 09:23:33AM +0100, John Hodrien wrote:<br>
&gt; &gt; On Thu, 9 May 2013, Joshua Riffle wrote:<br>
&gt; &gt;<br>
&gt; &gt; &gt;In the case of service discovery there seems to be no way of getting LDAP to<br>
&gt; &gt; &gt;be treated as LDAPS (secure) and I think this may be leading to a<br>
&gt; &gt; &gt;segmentation fault in the sss_ldap library.<br>
&gt; &gt;<br>
&gt;<br>
&gt; A segmentation fault? Can you get us a backtrace or a core file, please?<br>
&gt; Even if the functionality didn&#39;t work as expected, we should never ever<br>
&gt; segfault.<br>
&gt;<br>
&gt; &gt; &gt;_ldap._tcp              SRV  0 0 636 ldap<br>
&gt; &gt;<br>
&gt; &gt; &gt;ldaps (which is correct!) and instead makes it regular old ldap which is<br>
&gt; &gt; &gt;bound to fail.<br>
&gt; &gt;<br>
&gt; &gt; I think this is the point.  It&#39;s an LDAP record, so it&#39;ll get used as LDAP, so<br>
&gt; &gt; that entry is incorrect and should point to the plain/tls port not the LDAPS<br>
&gt; &gt; port.<br>
&gt; &gt;<br>
&gt;<br>
&gt; IIRC the exact same issue came up recently on #sssd on freenode. Someone<br>
&gt; (Stephen perhaps?) suggested that if the port in the SRV entry was set to<br>
&gt; 636 we could try ldaps:// first and fall back to ldap:// instead of simply<br>
&gt; trying ldap:// all the time.<br>
&gt;<br>
&gt; I&#39;m going to file this request as an RFE, but to be honest I&#39;d consider<br>
&gt; it a &quot;nice-to-have-patch-welcome&quot; feature rather than something that<br>
&gt; would be available in the next release:<br>
&gt; <a href="https://fedorahosted.org/sssd/ticket/1920" target="_blank">https://fedorahosted.org/sssd/ticket/1920</a><br>
<br>
</div>Keep in mind that LDAPS has been deprecated for a decade now which is<br>
why there is also no _ldaps SRV record defined. LDAP + TLS should be<br>
used these days.<br>
<br>
(I do not object to trying ldaps if the port is 636 although I agree<br>
this is a low prio RFE)<br>
<span class="HOEnZb"><font color="#888888"><br>
Simo.<br>
<br>
--<br>
Simo Sorce * Red Hat, Inc * New York<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
_______________________________________________<br>
sssd-devel mailing list<br>
<a href="mailto:sssd-devel@lists.fedorahosted.org">sssd-devel@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-devel" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-devel</a><br>
</div></div></blockquote></div><br></div>