Debian Multi-Master Replikation
Allgemein
Das LDAP Directory kann zur Erhöhung der Ausfallsicherheit über mehrere Server hinweg repliziert (synchronisiert) werden. So sind die Daten permanent redundant auf mehreren Servern vorrätig und kann von den diversen Diensten benutzt werden. LDAP bringt bereits alle Mittel mit, um das Directory auf mehreren Servern zu replizieren. Für die Replikation wird das OpenLDAP- Modul syncrepl verwendet.
Voraussetzung:
- LDAP Server auf mindestens zwei Servern installiert
- DNS Server (Replikation mittels IP-Adressen funktioniert nicht)
Installation
LDAP-Server auf mindestens zwei Servern installiert. Im folgenden sollen diese ldap1 und ldap2 heißen. Als Domain wird test.lan verwendet. Die LDAP BaseDN wurde mit dc=test,dc=lan gewählt.
 Achtung:
|
|
| Im Folgenden unbedingt ldap1 und ldap2 mit den Hostnamen (ermitteln mit Befehl hostname) der beiden Server ersetzen. IP-Adressen bzw. DNS-Aliase funktionieren hier definitiv nicht. |
 Hinweis:
|
|
| Es ist dringend angeraten ein Backup des kompletten LDAP Directories und dessen Konfiguration durchzuführen, bevor mit der Konfiguration der Replikation begonnen wird. Im Falle einer Fehlkonfiguration, die evtl. sogar dazu führt, dass OpenLDAP nicht mehr startet, kann relativ einfach wieder ein lauffähiges LDAP Directory hergestellt werden. |
Konfiguration
Modul Syncrepl aktivieren
vi /root/ldap_ldif/syncrepl_load.ldif
Folgende Zeilen einfügen:
dn: cn=module,cn=config objectClass: olcModuleList cn: module olcModuleLoad: syncprov.la
Übertragen des ldif-Files ins LDAP Directory (auf beiden LDAP-Servern ldap1 und ldap2 durchführen):
ldapadd -cxWD cn=admin,cn=config -f /root/ldap_ldif/syncrepl_load.ldif
Replikation der LDAP Konfigurations Datenbank (cn=config)
vi /root/ldap_ldif/syncrepl_config.ldif
Folgende Zeilen einfügen und evtl. anpassen (Hostnamen ldap1 und ldap2 und ldap_pwd mit LDAP-Admin Passwort ersezten):
dn: cn=config
changetype: modify
add: olcServerID
olcServerID: 1 ldap://ldap1.test.lan
olcServerID: 2 ldap://ldap2.test.lan
dn: olcOverlay=syncprov,olcDatabase={0}config,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
dn: olcDatabase={0}config,cn=config
changetype: modify
add: olcSyncRepl
olcSyncRepl: rid=001 provider=ldap://ldap1.test.lan binddn="cn=admin,cn=config" bindmethod=simple credentials=ldap_pwd searchbase="cn=config" type=refreshAndPersist retry="5 5 300 5" timeout=1
olcSyncRepl: rid=002 provider=ldap://ldap2.test.lan binddn="cn=admin,cn=config" bindmethod=simple credentials=ldap_pwd searchbase="cn=config" type=refreshAndPersist retry="5 5 300 5" timeout=1
-
add: olcMirrorMode
olcMirrorMode: TRUE
File vor unberechtigtem Zugriff schützen, da Admin Passwort im Klartext hinterlegt ist:
chmod 600 /root/ldap_ldif/syncrepl_config.ldif
Übertragen des ldif-Files ins LDAP Directory (auf beiden LDAP-Servern ldap1 und ldap2 durchführen):
ldapmodify -cxWD cn=admin,cn=config -f /root/ldap_ldif/syncrepl_config.ldif
OpenLDAP auf beiden Servern neu starten:
/etc/init.d/slapd restart
Replikation des Daten Directories
vi /root/ldap_ldif/syncrepl_hdb.ldif
Folgende Zeilen einfügen und anpassen:
dn: olcDatabase={1}hdb,cn=config
changetype: modify
replace: olcSyncRepl
olcSyncRepl: rid=003 provider=ldap://ldpa1.test.lan binddn="cn=admin,dc=test,dc=lan" bindmethod=simple credentials=LDAP_PWD searchbase="dc=test,dc=lan" type=refreshAndPersist interval=00:00:00:10 retry="5 5 300 5" timeout=1
olcSyncRepl: rid=004 provider=ldap1://ldap2.test.lan binddn="cn=admin,dc=test,dc=lan" bindmethod=simple credentials=LDAP_PWD searchbase="dc=test,dc=lan" type=refreshAndPersist interval=00:00:00:10 retry="5 5 300 5" timeout=1
-
add: olcMirrorMode
olcMirrorMode: TRUE
dn: olcOverlay=syncprov,olcDatabase={1}hdb,cn=config
changetype: add
objectClass: olcOverlayConfig
objectClass: olcSyncProvConfig
olcOverlay: syncprov
Ins Directory übernehmen (nur auf einem Server ausführen, da die Änderung bereits auf den zweiten Server automatisch repliziert werden sollte):
ldapmodify -cxWD cn=admin,cn=config -f /root/ldap_ldif/syncrepl_hdb.ldif
Funktionstest
Auf Server ldap1:
vi /root/ldap_ldif/add_testrepl.ldif
Folgende Zeilen einfügen und anpassen:
dn: uid=testrepl,ou=people,dc=test,dc=lan uid: testrepl uidNumber: 8899 gidNumber: 9988 cn: Test sn: Test objectClass: top objectClass: inetOrgPerson objectClass: person objectClass: posixAccount objectClass: shadowAccount loginShell: /bin/false homeDirectory: /home/testrepl
In's Directory einfügen:
ldapadd -cxWD cn=admin,dc=test,dc=lan -f /root/ldap_ldif/add_testrepl.ldif
Auf ldap1 und ldap2:
ldapsearch -xLLL uid=testrepl
Die Ausgabe sollte auf beiden Servern folgendermaßen aussehen, falls die Replikation korrekt funktioniert:
dn: uid=testrepl,ou=people,dc=test,dc=lan uid: testrepl uidNumber: 8899 gidNumber: 9988 cn: Test sn: Test objectClass: top objectClass: inetOrgPerson objectClass: person objectClass: posixAccount objectClass: shadowAccount loginShell: /bin/false homeDirectory: /home/testrepl
Falls am Server ldap2 keine Ausgabe erfolgt, liegt ein Replikationsfehler vor.
Auf ldap2:
vi /root/ldap_ldif/del_testrepl.ldif
Folgende Zeilen einfügen und anpassen:
dn: uid=testrepl,ou=people,dc=test,dc=lan changetype: delete
Test Usereintrag löschen:
ldapmodify -cxWD cn=admin,dc=test,dc=lan -f /root/ldap_ldif/del_testrepl.ldif
Auf ldap1 und ldap2:
ldapsearch -xLLL uid=testrepl
Es sollten auf beiden Servern keinerlei Ausgaben erfolgen. Damit wurde die Replikation von ldap1=>ldap2 und von ldap2=>ldap1 erfolgreich verifiziert.