Solución de problemas de búsqueda en el directorio de Cisco Jabber

Introducción

Este documento describe cómo resolver el problema de búsqueda del directorio Cisco Jabber cuando se configura Secure Socket Layer (SSL).

Contribuido por Khushbu Shaikh, Ingenieros del TAC de Cisco. Editado por Sumit Patel y Jasmeet Sandhu

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Jabber para Windows
• Wireshark

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Problema

La búsqueda en el directorio Jabber no funciona cuando se configura SSL.

Análisis de registro de Jabber 

Los registros de Jabber muestran este error:

Directory searcher LDAP://gbllidmauthp01.sealedair.corp:389/ou=Internal,ou=Users,o=SAC not found, adding server gbllidmauthp01.sealedair.corp to blacklist.

2016-10-21 08:35:47,004 DEBUG [0x000034ec] [rdsource\ADPersonRecordSourceLog.cpp(50)] [csf.person.adsource] [WriteLogMessage] - ConnectionManager::GetDirectoryGroupSearcher - Using custom credentials to connect [LDAP://gbllidmauthp02.sealedair.corp:389] with tokens [1]



2016-10-21 08:35:47,138 DEBUG [0x000034ec] [rdsource\ADPersonRecordSourceLog.cpp(50)] [csf.person.adsource] [WriteLogMessage] - ConnectionManager::GetDirectoryGroupSearcher - failed to get a searcher - COMException [0x80072027]

Análisis de captura de paquetes 

En esta captura de paquetes, se puede ver que la conexión TCP (del inglés Transmission Control Protocol, protocolo de control de transmisión) al servidor de Active Directory (AD) es correcta, pero el intercambio de señales SSL entre el cliente y el servidor LDAP (del inglés Lightweight Directory Access Protocol, protocolo ligero de acceso a directorios) falla. Esto hace que Jabber envíe un mensaje FIN en lugar de la clave de sesión cifrada para la comunicación.

El problema persiste aunque el certificado AD firmado se carga en el almacén de confianza del equipo cliente.

Los análisis adicionales de la captura de paquetes revelan que la autenticación del servidor ha desaparecido en la sección Uso mejorado de claves del certificado del servidor AD.

Solución

Se volvió a crear un escenario con un certificado que tiene la autenticación del servidor en el uso mejorado de claves que resolvió el problema. Consulte las imágenes de los certificados para su comparación.

El identificador de autenticación del servidor en el certificado es un requisito previo para un intercambio de señales SSL exitoso.

Información Relacionada

https://www.petri.com/enable-secure-ldap-windows-server-2008-2012-dc