Nous gérons HA LDAPS sur Novell eDirectory, mais le problème est similaire. Nous avons réussi à résoudre le problème avec des noms alternatifs de sujets sur les certificats. Les Subject-alternate-names sont, tout simplement, des sujets alternatifs que vous pouvez mettre sur un certificat afin de lui donner plus d'un nom. C'est ainsi que vous pouvez (en théorie) avoir un seul certificat valable pour pop3.organisation.org, imap.organisation.org, et webmail.organisation.org. Ils sont assez récents, mais pas autant que les certificats à validation étendue.
La plupart des clients LDAP modernes sont suffisamment intelligents pour traiter correctement les SAN. En outre, nous gérons l'autorité de certification qui a émis les certificats, de sorte que l'obtention d'un SAN est simple pour nous. Ce n'est pas si simple si vous devez payer pour un certificat, les autorités de certification préférant que vous achetiez plusieurs certificats. Malheureusement pour beaucoup de gens, certains logiciels ne peuvent charger qu'un seul certificat. C'est là qu'interviennent les SAN.
Nous utilisons un équilibreur de charge matériel (F5 BiP) et trois serveurs LDAPS. Lors de la première mise en place, nous avons créé des certificats avec uniquement le nom de réseau de l'IP/DNS de l'équilibreur de charge. Les clients qui se connectaient directement aux serveurs LDAP obtenaient des erreurs de certificat, ce qui s'est avéré être une incitation à utiliser l'adresse IP de l'équilibreur de charge comme ils auraient dû le faire depuis le début.
Depuis, nous avons décidé d'utiliser les noms alternatifs de sujets, car cela avait des effets secondaires négatifs sur le logiciel Novell fonctionnant sur ces serveurs. Mais nous avons réussi à le faire fonctionner sans SAN pendant un certain temps. Chaque certificat comporte trois noms :
- Adresse IP de l'équilibreur de charge IP
- Nom DNS de l'IP de l'équilibreur de charge
- Nom DNS de l'hôte direct
Cela expose le nom d'hôte du back-end à ceux qui fouinent, mais nous ne considérons pas cela comme une vulnérabilité. D'autres pourraient le faire.
C'est ce que nous faisons, et ça marche pour nous.
