Cisco Jabberディレクトリ検索の問題のトラブルシューティング

概要

このドキュメントでは、Secure Socket Layer(SSL)が設定されている場合に、Cisco Jabberディレクトリ検索の問題をトラブルシューティングする方法について説明します。

著者：Cisco TACエンジニア、Khusbu Shaikh編集：Sumit Patel、Jasmeet Sandhu

前提条件

要件

次の項目に関する知識があることが推奨されます。

• Jabber for Windows
• Wireshark

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

問題

SSLが設定されている場合、Jabberディレクトリ検索は機能しません。

Jabberログ分析 

Jabberログに次のエラーが表示されます。

Directory searcher LDAP://gbllidmauthp01.sealedair.corp:389/ou=Internal,ou=Users,o=SAC not found, adding server gbllidmauthp01.sealedair.corp to blacklist.

2016-10-21 08:35:47,004 DEBUG [0x000034ec] [rdsource\ADPersonRecordSourceLog.cpp(50)] [csf.person.adsource] [WriteLogMessage] - ConnectionManager::GetDirectoryGroupSearcher - Using custom credentials to connect [LDAP://gbllidmauthp02.sealedair.corp:389] with tokens [1]



2016-10-21 08:35:47,138 DEBUG [0x000034ec] [rdsource\ADPersonRecordSourceLog.cpp(50)] [csf.person.adsource] [WriteLogMessage] - ConnectionManager::GetDirectoryGroupSearcher - failed to get a searcher - COMException [0x80072027]

パケットキャプチャ分析 

このパケットキャプチャでは、Active Directory(AD)サーバへのTransmission Control Protocol(TCP)接続は成功していますが、クライアントとLightweight Directory Access Protocol(LDAP)サーバ間のSSLハンドシェイクが失敗していることが分かります。これにより、Jabberは通信の暗号化されたセッションキーの代わりにFINメッセージを送信します。

署名付きAD証明書がクライアントPCの信頼ストアにアップロードされても、問題は解決しません。

パケットキャプチャの詳細な分析により、ADサーバ証明書の[Enhanced Key Usage]セクションにサーバ認証が含まれていることが明らかになります。

解決方法

拡張キー使用法のサーバ認証を持つ証明書でシナリオが再作成され、問題が解決されました。比較については、証明書のイメージを参照してください。

証明書のサーバ認証識別子(SSID)は、SSLハンドシェイクが成功するための前提条件です。

関連情報

https://www.petri.com/enable-secure-ldap-windows-server-2008-2012-dc