» Openfire (Wildfire/Jive Messenger) часть 3

Nero2002, очень хочу такой мануал! У меня много доменов и общий ростер будет подарком хорошим!

Ni9999
В понедельник, если с утра ничем не нагрузят - напишу. Описывать нужно много и очень подробно, так как там каждый нюанс важен (на своей шкуре прочувствовал), так что быстро не обещаю. Заодно выложу ряд вспомогательных утилит, которые пришлось написать по ходу дела.

Ni9999
есть определенная схема. в домене которому доверяют все остальные ставится опенфайр. в конфиге sasl.approve.realm пишуться имена доменов которые доверяют авторизацию домену указанному в sasl.realm. получается один джаббер домен, одна база пользователей, прозрачная авторизация со всех доменов. пробовал так делать?

victorae
Если домены разные (разные леса) - так сделать не получится. Авторизация будет проходить, но пользователя в списке не будет (см. сайт Openfire). Единственный путь объединить базу пользователей РАЗНЫХ доменов - поднять ADAM. Уже после установки ADAM нужно делать то, что вы говорите, тогда будет прозрачная авторизация со всех доверенных доменов.

Цитата:

удали патч. миранда должна подключиться. поставь патч. миранда должна подключиться в ручном режиме. если не накосячил с именами и патчем - подключится и автоматом. миранда которая 100% подключается автоматом к настроенному серверу http://dl.dropbox.com/u/18310500/Miranda.zip

Удалил патч. Твоя Миранда запросто подключилась в ручном режиме. Поставил патч твоя Миранда не подключается вообще никак - ни в ручном, ни автоматом.
В логах сервера точно то же самое сообщение - Closing connection due to error while processing message: <auth xmlns="urn:ietf:params:xml:ns:xmpp-sasl" mechanism="NTLM">TlRMTVNTUAABAAAAB7IIogQABAAtAAAABQAFACgAAAAFASgKAAAAD0FETUlOUE9MRQ==</auth>
А нет, случайно где-нибудь уже настроенного OpenFire? Чтобы я только архив распаковал и всё работало. Почему он такой нереально сложный в настройке?

TigerHeart003
у тебя сервер с опенфайром в домене?

Цитата:

Почему он такой нереально сложный в настройке?

"это не двери узкие, это кто то слишком много ест.." ты где то в чем то стабильно косячишь в настройках патча.

Цитата:

у тебя сервер с опенфайром в домене?

Цитата: Почему он такой нереально сложный в настройке?


"это не двери узкие, это кто то слишком много ест.." ты где то в чем то стабильно косячишь в настройках патча.

Всё, наконец-то заработало!!! Оказалось, что файл java.security.patch - это не бинарный файл, а текстовый, и его не надо было копировать в папку jre\lib\security, а надо было просто открыть его блокнотом и выполнить то, что там написано. Блин, впервые вижу, чтобы файл с инструкцией имел расширение ".patch". Неужели нельзя было сделать ".txt" или, на крайняк, хотя бы ".readme" чтобы люди не путались.

Nero2002

Цитата:

но пользователя в списке не будет

вроде обещали пофиксить конструкцию
<baseDN>OU=our_ou,DC=Domain</baseDN>
<alternatebaseDN>CN=Users,DC=Domain</alternatebaseDN>
у меня второго нет, потому просто идеи, проверить не могу

Установка Openfire с поддержкой общего списка пользователей для нескольких доменов (лесов)


Вступление

В процессе написания статьи я получил информацию, о том что для объединения двух доменов (лесов) в настройках Openfire можно указать параметр ldap.alternateBaseDN, в котором нужно прописать второй домен. При этом список пользователей, согласно документации, будет объединятся в один. Но разобравшись в теме увидел целую кучу подводных камней. Во-первых, таким способом можно объединить только два домена, во-вторых, судя по форуму разработчика, из второго домена не подтягиваются соответствующие ему группы, в-третьих, структура обоих доменов должна быть строго говоря идентична (например, для фильтрации пользователей по группе), ну и в-четвертых, на версии 3.6.4 лично у меня этот параметр не отработал.

Предполагается, что вы уже поставили NTLM патч и настроили Openfire для работы с одним из доменов.

1. Подготовка доменов

Для полноценной работы между доменами требуется установить двухсторонние доверительные отношения. Для этого на каждом контроллере домена необходимо запустить консоль domain.msc и в свойствах домена указать доверенный домен (потребуются привилегии администратора домена). После установления двухсторонних доверительных отношений необходимо проверить, что все сделано правильно и через поиск по Active Directory можно найти пользователей соседних доменов.

2. Установка ADAM

ADAM является своеобразным прокси, к которому можно подключить несколько доменов для получения общего списка пользователей. Этим его функционал не ограничивается, но именно эта функция нам потребуется прежде всего.

Перед установкой ADAM стоит определиться на каком сервере вы будете его разворачивать. ADAM позволяет установить свои службы на любые свободные порты, поэтому вы можете развернуть его непосредственно на контроллере домена. В моем случае я разворачивал ADAM на отдельном сервере Jabber, который не выполняет роль контроллера домена, поэтому я мог использовать стандартные порты для Active Directory - TCP 389 и TCP 636 (SSL). Учтите этот нюанс при установке ADAM.

Загрузить ADAM можно с сайта Microsoft по следующей ссылке.

3. Настройка ADAM

После установки ADAM требуется создать его рабочую инстанцию. Делается это в меню Программы\ADAM. При запуске мастера для создания инстанций делаем следующее:

Нажимаем Next
Выбираем A unique instance, нажимаем Next
Вводим любое название инстанции, например OpenfireADProxy, нажимаем Next
Указываем порты LDAP и LDAP SSL (если стандартные порты будут заняты - при установке будет предложено использовать порты 50000 и 50001 соответственно), нажимаем Next
Выбираем Yes, create an application directory partition и вводим название новой директории в ADAM, например, DC=jabber,DC=local, нажимаем Next
Указываем каталог для хранения базы данных (можно оставить по-умолчанию), нажимаем Далее
Указываем под какой учетной записью стартовать ADAM (можно оставить по-умолчанию Network service account), нажимаем Next
Указываем учетную запись для управления базой данных ADAM (я использовал пользователя, под которым вошел в систему), нажимаем Next
Указываем какие политики импортировать в новую инстанцию: выбираем в список MS-InetOrgPerson.LDF, MS-User.LDF, MS-UserProxy.LDF, нажимаем Next
Нажимаем Next, инстанция ADAM установлена


4. Загрузка данных в ADAM

Первое с чего надо начать - создать базовую схему ADAM. Для этого требуется объединить изначальную базовую схему ADAM и целевого домена. Для объединения схем сделаем следующее:

Откроем консоль ADAM Tools Command Prompt из меню Программа\ADAM
Вводим adschemaanalyzer и нажимаем Enter
В меню File выбираем Load target schema и указываем хост, порт и учетные данные целевого домена
В меню File выбираем Load base schema и указываем только хост и порт ADAM инстанции
В меню Schema выбираем пункт Mark all non-present elements as included
В меню File выбираем Create LDIF file, указываем имя файла (например, Adam1.ldf)
Записываем полученный файл в каталог %WINDIR%\ADAM
Импортируем в ADAM Tools Command Prompt полученную схему

Код: ldifde -i -s localhost -c "CN=Configuration,DC=X" #ConfigurationNamingContext -f Adam1.ldf

Nero2002
..монстр народ тут на простейшем патчике мозг себе ломает, а ты такую простыню инструкций Добавил в шапку..

victorae
Стараемся. Я ж обещал, что напишу. В двух словах тут не получится, иначе не заработает. Я 4 дня изучал нюансы всего этого безобразия. Инфу по ADAM искал в инете по крупицам, в основном на английском. Решил все собрать в одном месте и перевести.

Nero2002. НИФИГА СЕБЕ! Буду изучать сие, уверен что это не просто инструкция, а каждый шаг логичен.

Люди добрые, помогите подписать сертификаты.. Нифига не понимаю. Объясните если можете на пальцах.. Один раз. Все поймут и спрашивать больше не будут..
Есть вкладочка "Server Certificates". Там выбираю пунктик "Click here to update the issuer information". Там как бы заполняю идентификационные параметры. В итоге получаю 2 запроса для ЦС. Дальше иду на ЦС и создаю сертификат "Submit a certificate request by using a base-64-encoded CMC or PKCS #10 file, or submit a renewal request by using a base-64-encoded PKCS #7 file." Дальше в "Saved Request:" копипастю запрос на сертификат, и выбираю "WEB Server"???. Вот тут непонятно почему web server-но более подходящего в списке ничего нет. Возможно нужен другой шаблон какой то?. В итоге получаю сертификат. Но как из него вычленить информацию готовую для ввода в "Certificate Authority Reply: " так и не понимаю. Может тут и вообще всё не верно, но keytool - как то сложновато что ли. Неужели через web интерфейс нельзя?

Вопрос: клиенты миранды из сборки в шапке цепляются к серверу с ntlm аутентификацией и когда смотрим в админке сервера openfire->active sessions->client sessions в поле Resource отображается не miranda а имя компьютера клиента

как сделать так что бы отображалось имя клиента миранды

Openfire 3.6.4 на Windows 2003 ntlm аутентификация

shd
Очень просто. Запустить её на своём компьютере, зайти в настройки Jabber протокола и там снять галку "имя хоста" и выбрать в ниспадающем списке что хочешь. Потом это и распостранять.

Добавлено:
Ребят, я поднял тему сертификатов потому что хочу выставить Openfire наружу. Думаю делать это через коннектор(так спокойней). На сервере включил опцию "не принимать не зашифрованные соединения". Если подключаюсь через коннектор и в настройке миранды снимаю галку TLS то соединение не устанавливается, если галка есть-то соединение устанавливается. Смущает то что в списках "сессий" мой конект через коннектор не отмечается "замочком". Что это? Незащищённое соединение между коннектором и Openfire или же при использовании коннектора соединение не шифруется(если не настраивать сертификаты)? Хотя думаю что соединение между клиентом и коннектором всё же зашифрованное-иначе сервер меня бы не откидывал при попытке установить не зашифрованное соединение. Ещё интересно кто как предохраняется? В идеале хотел бы получить систему основанную на едином сертификате.. Типа есть сертификат-свой клиентский компьютер, нет-чужой и досвиданья.

Bovik07
У меня обычный самоподписной сертификат опенфайра, открыт в инет уже года 4 наверное, проблем нет.

victorae
Ну это может быть по разному. Если порушат мне внутренний сервер-то меня с Г. съедят.. Думаю что защиту как раз нужно не опенфаером реализовывать, а каким то другим механизмом.. ISA-не предлагать-больно дорого. Самоподписанные сертификаты как я понимаю достаточны для организации защищённого соединения. И хорошо. И наверное достаточно. Но вот как не допустить на внешний порт чужих-вот в чём вопрос...

Bovik07


Цитата:

Если порушат мне внутренний сервер-то меня с Г. съедят..

Каким образом "порушат"? Риски обрисуй более четко для себя и сделай на один день больше бекапа


Цитата:

Но вот как не допустить на внешний порт чужих-вот в чём вопрос...

обычно это решается жесткой политикой паролей, тогда эти заморочки все сами собой решаются.

Пароли можно сидеть и подбирать. Да не.. Что то нужно. Firewall по крайней мере весь закрытый. Может в IPSec копнуть.. Ну просто всетить не правильно. У нас хоть и на верхнем уровне серьёзная защита-но всё равно-надо. Да и дело то ламерское по сути! Ставил Proxy с доступом к порту по паролю. Но это не серъёзно. На клиентах этот пароль практически в открытом виде есть.. Пока в поиске.

Bovik07

Цитата:

Пароли можно сидеть и подбирать.

можно конечно, от этого помогает три попытки и блокировка учетки на 5 минут.. Вообще есть примеры открытых джаббер серверов - вконтакт, фейсбук, гугль.. часто их ломают?

victorae

Цитата:

три попытки и блокировка учетки на 5 минут..

Тоже копаю в эту сторону. Будет ли в домене блокироваться учётная запись если осуществляется подбор пароля через миранду скажем?

Bovik07
без разницы, миранда это или что то еще, контроллер домена видит имя учетки и пароль, если они не верные считает попытки и блокирует. ну и конечно должна быть включена политика сложных паролей, 123 никто долго перебором ломать не будет. еще вариант открыть клиентский порт не на 5222, а на другом, не явном.

victorae
Политика блокировки учётной записи-не прокатила. На коннекторе установил подобную локальную политику. Несколько раз ввёл неправильный пароль-после правильный-пустил. Не блочит этот способ учётную запись... На доменном уровне разве что подобную политику надо делать? У тебя это есть? Работает? Проверенно?

Bovik07
Logon Failure:
    Reason:        Account locked out
    User Name:    ***
    Domain:    ****
    Logon Type:    3
работает. у меня политика паролей прописана в групповой политике в контроллере на ОУ корневой.

Да! Тоже убедился! Увидел это на самом Openfire. На коннекторе нет. Он в общем то не доменный. Понятно. Значит этот механизм может стоять-но на сервере. Плюс! Слушай, а политика блокировки работает на весь домен или можно применять её на определённые хосты? Дело в том, что перебором твоей главной админской учётки-её могут элементарно блочить.
.. Подумал получше. Данная политика-вседоменная. Есть минус.

Bovik07
она на отдельные ОУ может применяться. Но если контролируется весь домен - что в этом плохого?

Политика паролей работает только в домене. Я не уверен, что политика блокировки не аналогично работает... Ну говорю-же - несанкционированный перебор паролей твоих админских аккаунтов может привести их к блокировке в домене. То есть возможна ситуация когда все твои админские учётки будут заблокированы, при этом возможно от их имени работают важные доменные приложения...

Bovik07

Цитата:

все твои админские учётки будут заблокированы

для этого минимум их надо знать, а во вторых они не находятся в одном ОУ с пользовательскими.

Сейчас делаю вот так. http://www.inet-press.com/lib/2005/06/art180.htm
Простенько конечно, но пусть будет. Пока не получается на коннекторе.. Вроде добавил соединение к опенфаеру на порт 5262, но где то чего то нехватает. Как только включаю правило - коннект отваливается...

Получилось. В настройке фильтра Jabber внёс изменения. Всё остальное ненужное-снёс. По сути оставил только DNS(хотя наверное и он не нужен), синхронизацию времени, 5222 и на openfire 5226.

Надо копать дальше.

спасибо
Bovik07

за подсказку про настройку, но интересовало распространение через autoexec_CUSTOM.ini файл.

разобрался, но как сделать так что бы настроенные смайлы работали в корпоративной сборке понять не могу. Вопрос осбственно в следующем:
1.настроил у себя на компьютере смайлы в jabber миранде из шапки(установил модуль ieview, smileadd и в каталог smile распаковал qip-smile-pack-1.0.zip)
2.копирую каталог из своего %PROGRAMFILES% в шару на сервере, откуда буду распространять,
3.у себя сношу в %PROGRAMFILES% и в %APPDATA% папку jabber далее распространяю себе, запускаю

в результате смайлы не настроены, а что бы заново настроить нужно указать путь в настройках миранды
(Тонкая настройка->Смайлы, там в категории смайлов ставлю галку возле JABBER и под выставленной галкой(я не выставлял) "Категории с уникальными наборами смайлов" через кнопку выбора набора смайлов , открывающее стандартное Windows окно выбора файла, указываю путь "smileys\Animated\QIP.msl" хлопаем применить, перезапускаем миранду и в окне общения с собеседником получаем анимированные смайлы)
надо что бы эта фича распространялась уже настроенной.

Нашел поисклм, что это храниться в файле Jabber.dat, который при "установке" корпоративной сборки миранды из шапки ложим в директорию "%APPDATA%\JABBER"
но если и его тоже распространять всё равно не получаем настроенные смайлы в миранде.

Помогите, как ЭТО(что бы настроенные смайлы работали в корпоративной сборке понять не могу) сделать?