LDAPS funktioniert nach Update auf v15 nicht mehr

[wagnerv]

Moin zusammen,

nach Update auf 15 bekommen wir bei ldaps folgende Meldung:

Certificate validation for synchronization plan 'Active Directory' failed: Found no matching DNS name in the certificate.
The synchronization plan is configured to connect to 'dc.domain.local', but the certificate contains the following DNS names: .

Weitere Fehlermeldung:

An error occurred during the synchronization of plan 'Active Directory'. The error returned was: System.DirectoryServices.Protocols.LdapException: Der LDAP-Server ist nicht verfügbar.
bei System.DirectoryServices.Protocols.LdapConnection.Connect()
bei System.DirectoryServices.Protocols.LdapConnection.SendRequestHelper(DirectoryRequest request, Int32& messageID)
bei System.DirectoryServices.Protocols.LdapConnection.BeginSendRequest(DirectoryRequest request, TimeSpan requestTimeout, PartialResultProcessing partialMode, AsyncCallback callback, Object state)
bei NoSpamProxy.DirectoryServices.LdapConnectionExtension.SendRequestAsync(LdapConnection connection, DirectoryRequest request, CancellationToken cancellationToken)
bei NoSpamProxy.DirectoryServices.DirectorySearch.<SearchAsync>d__53.MoveNext()
--- Ende der Stapelüberwachung vom vorhergehenden Ort, an dem die Ausnahme ausgelöst wurde ---
bei System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()
bei Netatwork.NoSpamProxy.IntranetServices.LdapStore`2.<GetUsersAsync>d__11.MoveNext()
--- Ende der Stapelüberwachung vom vorhergehenden Ort, an dem die Ausnahme ausgelöst wurde ---
bei System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()
bei System.Runtime.CompilerServices.TaskAwaiter.HandleNonSuccessAndDebuggerNotification(Task task)
bei Netatwork.NoSpamProxy.IntranetServices.AutomaticUserImportService.<ProcessUserSynchronizationAsync>d__53.MoveNext()


Message:
Der LDAP-Server ist nicht verfügbar.
Error type:
System.DirectoryServices.Protocols.LdapException

Error code: 2148734208
Program location:
bei System.DirectoryServices.Protocols.LdapConnection.Connect()
bei System.DirectoryServices.Protocols.LdapConnection.SendRequestHelper(DirectoryRequest request, Int32& messageID)
bei System.DirectoryServices.Protocols.LdapConnection.BeginSendRequest(DirectoryRequest request, TimeSpan requestTimeout, PartialResultProcessing partialMode, AsyncCallback callback, Object state)
bei NoSpamProxy.DirectoryServices.LdapConnectionExtension.SendRequestAsync(LdapConnection connection, DirectoryRequest request, CancellationToken cancellationToken)
bei NoSpamProxy.DirectoryServices.DirectorySearch.<SearchAsync>d__53.MoveNext()
--- Ende der Stapelüberwachung vom vorhergehenden Ort, an dem die Ausnahme ausgelöst wurde ---
bei System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()
bei Netatwork.NoSpamProxy.IntranetServices.LdapStore`2.<GetUsersAsync>d__11.MoveNext()
--- Ende der Stapelüberwachung vom vorhergehenden Ort, an dem die Ausnahme ausgelöst wurde ---
bei System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()
bei System.Runtime.CompilerServices.TaskAwaiter.HandleNonSuccessAndDebuggerNotification(Task task)
bei Netatwork.NoSpamProxy.IntranetServices.AutomaticUserImportService.<ProcessUserSynchronizationAsync>d__53.MoveNext()

Warnungsmeldung:

Could not resolve a group name in Active Directory. The error returned was: Der LDAP-Server ist nicht verfügbar.


Message:
Der LDAP-Server ist nicht verfügbar.
Error type:
System.DirectoryServices.Protocols.LdapException

Error code: 2148734208
Program location:
bei System.DirectoryServices.Protocols.LdapConnection.Connect()
bei System.DirectoryServices.Protocols.LdapConnection.SendRequestHelper(DirectoryRequest request, Int32& messageID)
bei System.DirectoryServices.Protocols.LdapConnection.BeginSendRequest(DirectoryRequest request, TimeSpan requestTimeout, PartialResultProcessing partialMode, AsyncCallback callback, Object state)
bei NoSpamProxy.DirectoryServices.LdapConnectionExtension.SendRequestAsync(LdapConnection connection, DirectoryRequest request, CancellationToken cancellationToken)
bei NoSpamProxy.DirectoryServices.DirectoryServiceConnection.SendRequestAsync(DirectoryRequest request, CancellationToken token)
bei NoSpamProxy.DirectoryServices.DirectoryItem.<RefreshAsync>d__15.MoveNext()
--- Ende der Stapelüberwachung vom vorhergehenden Ort, an dem die Ausnahme ausgelöst wurde ---
bei System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()
bei System.Runtime.CompilerServices.TaskAwaiter.HandleNonSuccessAndDebuggerNotification(Task task)
bei Netatwork.NoSpamProxy.IntranetServices.LdapStore`2.<ResolveGroupAsync>d__22.MoveNext()



Zertifikate auf beiden DCs sind korrekt.
Version 14 funktionierte ohne Probleme.
LDAP funktioniert auch mit v15.

 

[ffischer]

Hallo,
selbst signierte Zertifikate oder von einer PKI?

 

[wagnerv]

interne pki

 

[ffischer]

ok, wenn am NSP ldp.exe her nimmst und verbindest, läuft das Problemlos?
Dem System selbst ist das Zertifikat vertrauenswürdig?

 

[wagnerv]

ok, wenn am NSP ldp.exe her nimmst und verbindest, läuft das Problemlos?
Dem System selbst ist das Zertifikat vertrauenswürdig?

Beides ja.

 

[JanJäschke]

Hmm merkwürdig.

Da es eine interne PKI ist gehe ich davon aus, dass die CA Kette im System Store hinterlegt ist.?
Du könntest blind einmal prüfen was passiert wenn die CA Kette über die NCC im NSP importiert wurde. (Neustart der Intranet Rolle)

Ansonsten wären hier weitere Logs interessant:

• NSP
  • Intranet Rolle:
    • Automatic user import
    • Certificate Management
    • UserManagement Service
• Eventlog
• CAPI Log
• Wireshark (auch AD Seite))

 

[wagnerv]

Hmm merkwürdig.

Da es eine interne PKI ist gehe ich davon aus, dass die CA Kette im System Store hinterlegt ist.?
Du könntest blind einmal prüfen was passiert wenn die CA Kette über die NCC im NSP importiert wurde. (Neustart der Intranet Rolle)

Ansonsten wären hier weitere Logs interessant:

• NSP
  • Intranet Rolle:
    • Automatic user import
    • Certificate Management
    • UserManagement Service
• Eventlog
• CAPI Log
• Wireshark (auch AD Seite))

ich versuche den Import und melde mich, seltsam , dass bei v14 alles lief. Hat sich da etwas grundlegendes geändert?

 

[ffischer]

Hallo,
reiner verdacht.
Gibt es einen Proxy.
Nicht das er versucht die CRL über diesen zu erreichen und daher scheitert.

 

[wagnerv]

also Zertifikateimport über NCC hat nichts gebracht.
Proxy haben wir die Server kommunizieren aber intern an ihm vorbei.
Wie gesagt v14 lief ohne Probleme. Es gab Netzwerktechnisch keine Veränderung