openldap, ldapsearch sem ligação de fora

Question

Se eu olhar no meu arquivo de log do openldap, sempre encontro 3-4 vezes por dia as seguintes linhas (olcLogLevel: 256; IP substituído):

Oct 17 23:44:40 debian slapd[674]: conn=1011 fd=14 ACCEPT from IP=______________ (IP=0.0.0.0:389)
Oct 17 23:44:40 debian slapd[674]: conn=1011 op=0 SRCH base="" scope=0 deref=0 filter="(objectClass=*)"
Oct 17 23:44:40 debian slapd[674]: conn=1011 op=0 SEARCH RESULT tag=101 err=0 nentries=1 text=
Oct 17 23:44:40 debian slapd[674]: conn=1011 fd=14 closed (connection lost)

Como eles podem pesquisar sem uma ligação (nem mesmo uma ligação anônima)? Como parece o comando ldapsearch?

As regras olcAccess do banco de dados:

olcAccess: {0}to attrs=userPassword by self write by anonymous auth by * none
olcAccess: {1}to * by self write
olcAccess: {2}to * by self read
olcAccess: {3}to * by * none

Se eu tentar com o ldapsearch, não poderei reproduzir isso e ficará assim:

ldapsearch -x está produzindo o seguinte log:

Oct 30 18:44:30 debian slapd[620]: conn=1006 fd=14 ACCEPT from IP=______________ (IP=[::]:389)
Oct 30 18:44:30 debian slapd[620]: conn=1006 op=0 BIND dn="" method=128
Oct 30 18:44:30 debian slapd[620]: conn=1006 op=0 RESULT tag=97 err=0 text=
Oct 30 18:44:30 debian slapd[620]: conn=1006 op=1 SRCH base="" scope=2 deref=0 filter="(objectClass=*)"
Oct 30 18:44:30 debian slapd[620]: conn=1006 op=1 SEARCH RESULT tag=101 err=32 nentries=0 text=
Oct 30 18:44:30 debian slapd[620]: conn=1006 op=2 UNBIND
Oct 30 18:44:30 debian slapd[620]: conn=1006 fd=14 closed

    

Answer 1

Eu não acredito que ldapsearch possa exibir esse comportamento, pois ele sempre quer emitir algum tipo de ligação, mas isso não quer dizer que o comportamento não possa ocorrer. O programa a seguir produz a mesma forma de registros que você forneceu.

#!/usr/bin/env python3
import ldap
ldapURI = "ldap://ldap.example.com/"
ldapConnection = ldap.initialize(ldapURI)
ldapConnection.search_s('',ldap.SCOPE_BASE)

Se você quiser limitar até mesmo esse tipo de pesquisa, poderá aplicá-la às regras do olcAccess em olcDatabase={-1}frontend,cn=config . Prossiga com cautela antes de fazer isso.