<div dir="ltr">I did try modifying the above two parameters with longer timeouts 15secs and these didnt make any difference, still seeing sssd[be[LDAP]]: Could not start TLS encryption. unknown error. <div><br></div><div>I think there is an issue with way sssd calls ldap lib which may be contributing to this problem.  Could someone who uses centos &gt; 5.8 confirm sssd is actually working with pam auth? <br>
</div><div><br></div><div><div style="font-family:arial,sans-serif;font-size:13px"><div>(Fri Aug 15 01:25:04 2014) [sssd[be[LDAP]]] [sdap_get_generic_step] (7): Requesting attrs: [highestCommittedUSN]<br></div><div>(Fri Aug 15 01:25:04 2014) [sssd[be[LDAP]]] [sdap_get_generic_done] (6): Search result: Success(0), (null)</div>
<div>(Fri Aug 15 01:25:04 2014) [sssd[be[LDAP]]] [sdap_get_server_opts_from_rootdse] (5): No known USN scheme is supported by this server!</div><div>(Fri Aug 15 01:25:04 2014) [sssd[be[LDAP]]] [simple_bind_send] (4): Executing simple bind as: (null)</div>
<div>(Fri Aug 15 01:25:04 2014) [sssd[be[LDAP]]] [simple_bind_done] (5): Server returned no controls.</div><div>(Fri Aug 15 01:25:04 2014) [sssd[be[LDAP]]] [simple_bind_done] (3): Bind result: Success(0), (null)</div></div>
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><a href="http://www.openldap.org/its/index.cgi/Incoming?id=6789" target="_blank" style="font-family:arial,sans-serif;font-size:13px">http://www.openldap.org/its/index.cgi/Incoming?id=6789</a><br style="font-family:arial,sans-serif;font-size:13px">
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">based on the previous url, (null) return meaning, there was an issue but sssd didnt get the appropriate msg back from LDAP? </div>
<div style="font-family:arial,sans-serif;font-size:13px"><br></div><div style="font-family:arial,sans-serif;font-size:13px">Also, i see <span style="color:rgb(0,0,0)"> slap_global_control: unrecognized </span><span style="color:rgb(0,0,0)">control: 1.3.6.1.4.1.42.2.27.8.5.1 in the ldap.log on the ldap server which seems to indicate that sssd is trying to use password policy? but i dont see this behaviour on the sssd running on centos6 as welll on &lt;= centos5.6.  Has there been change in the way sssd connects to LDAP? </span></div>
</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">On Wed, Aug 20, 2014 at 12:44 AM, Lukas Slebodnik <span dir="ltr">&lt;<a href="mailto:lslebodn@redhat.com" target="_blank">lslebodn@redhat.com</a>&gt;</span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="">On (19/08/14 16:37), Daniel Jung wrote:<br>
&gt;Still seeing sssd[be[LDAP]]: Could not start TLS encryption. unknown error<br>
&gt;<br>
&gt;Wed Aug 20 01:27:53:174091 2014) [sssd[be[LDAP]]] [sdap_sys_connect_done]<br>
&gt;(0x0100): Executing START TLS<br>
&gt;(Wed Aug 20 01:27:53:174891 2014) [sssd[be[LDAP]]] [sdap_connect_done]<br>
&gt;(0x0080): START TLS result: Success(0), (null)<br>
&gt;(Wed Aug 20 01:27:53:174930 2014) [sssd[be[LDAP]]] [sdap_connect_done]<br>
&gt;(0x0080): ldap_install_tls failed: [Connect error] [unknown error]<br>
&gt;<br>
&gt;As a recap, openldap user land tools works using -ZZ. upgraded sssd to<br>
&gt;1.9.6, upgraded openldap lib to 2.4.39. Any other ideas?<br>
&gt;<br>
&gt;By the way, what was the main decision for compiling against openldap 2.4<br>
&gt;when other critical package still compiles against 2.3 ldap lib? Making the<br>
&gt;upgrade path to openldap 2.4 very difficult.<br>
&gt;<br>
</div>Patch from previous mail just fixed crash.<br>
SSSD can try to reconnect after few seconds (value of &quot;offline_timeout&quot;)<br>
<br>
It is not clear from previous log file; It can be problem with long synchronous<br>
calls. You can try to modify some timeout options:<br>
<br>
       ldap_network_timeout (integer)<br>
           Specifies the timeout (in seconds) after which the<br>
           poll(2)/select(2) following a connect(2) returns in case of no<br>
           activity.<br>
<br>
           Default: 6<br>
<br>
       ldap_opt_timeout (integer)<br>
           Specifies a timeout (in seconds) after which calls to synchronous<br>
           LDAP APIs will abort if no response is received. Also controls the<br>
           timeout when communicating with the KDC in case of SASL bind.<br>
<br>
           Default: 6<br>
<br>
other options in man sssd-ldap<br>
<div class="HOEnZb"><div class="h5"><br>
LS<br>
_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
</div></div></blockquote></div><br></div>