Cuidado al configurar nscd (Name Service Cache Daemon)

<div style="text-align: justify;">Actualmente, en Debian tenemos dos alternativas para configurar un cliente con el fin de que éste pueda realizar búsquedas en ldap para la autentificación de usuarios:</div><ul><li>libnss-ldap</li><li>libnss-ldapd</li></ul><div style="text-align: justify;"><b>libnss-ldap</b> es más maduro y más complejo. En cambio, <b>libnss-ldapd</b> es más reciente pero soluciona ciertas deficiencias de libnss-ldap. Para más información, ver la página de libnss-ldapd: </div><div style="text-align: justify;"><a href="http://arthurdejong.org/nss-ldapd/">http://arthurdejong.org/nss-ldapd/</a></div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">El demonio <b>nslcd</b> es quien se encarga de conectar con el servidor ldap cuando el usuario realiza sus peticiones. La configuración de este demonio se encuentra en el fichero <b>/etc/nslcd.conf</b>, donde tendremos que especificar dos datos fundamentales:</div><ul><li>La uri del servidor ldap. </li><ul><li>Ejemplo: <b>uri ldap://ldap</b></li></ul><li>La base de nuestro directorio ldap.</li><ul><li>Ejemplo: <b>base dc=instituto,dc=extremadura,dc=es</b></li></ul></ul><div style="text-align: justify;">Es posible indicar varias uri para utilizar varios servidores ldap, uno por línea. Por ejemplo:</div><b>uri ldap://ldap</b><br /><b><b>uri ldap://servidor</b> </b> <br /><br /><div style="text-align: justify;">Siempre se utilizará el primero, excepto cuando falle, en cuyo caso, se utilizará el siguiente.</div><br /><div style="text-align: justify;">Si habéis configurado vuestro cliente para hacer consultas en el servidor ldap, podéis comprobar que funciona, ejecutando:</div><pre class="shell"><code># getent passwd</code></pre><div style="text-align: justify;">Y obtendréis la lista de todos los usuarios, tanto los locales como los del servidor ldap.</div><br />O:<br /><pre class="shell"><code># getent group</code></pre>Y obtendréis la lista de todos los grupos.<br /><br /><div style="text-align: justify;">Pues bien, para reducir el número de consultas al servidor ldap, podemos utilizar <b>nscd</b> (Name Service Cache Daemon), un demonio que se va a encargar de cachear la información de passwd, group y hosts. Nosotros lo utilizamos concretamente para cachear usuarios y grupos, pero no para nombres de hosts.</div><div style="text-align: justify;"><br /></div>El fichero de configuración de <b>nscd</b> es <b>/etc/nscd.conf</b><br /><br /><div style="text-align: justify;">Para activar el cacheo de usuarios en este fichero, entre otros parámetros tendremos una línea así:</div><br /><b>        enable-cache            passwd          yes</b><br /><br />Y para activar el cacheo de grupos:<br /><br /><b>        enable-cache            group          yes</b><br /><br /><div style="text-align: justify;">Un parámetro muy importante de este fichero es <b>positive-time-to-live</b>, Su sintaxis es la siguiente:</div><br /><b>        positive-time-to-live            servicio          segundos</b><br /><br /><br /><div style="text-align: justify;">Este parámetro nos permite indicar el número de segundos que deberán transcurrir para que una entrada sea borrada de la caché. Cuando queremos que la información permanezca cacheada mucho tiempo (como por ejemplo, en un portátil) especificaremos un valor muy alto. Y aquí es donde <span style="color: red;"><b>debemos de tener cuidado</b></span> porque los cambios producidos en la base de datos del servidor ldap no serán conocidos por el sistema debido a que estará usando la información cacheada.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Si en algún momento, queréis borrar la caché de usuarios manualmente, no tenéis más que ejecutar:</div><pre class="shell"><code># nscd -i passwd</code></pre>Y si queréis borrar la caché de grupos:<br /><pre class="shell"><code># nscd -i group</code></pre><div style="text-align: justify;">Por último, tan sólo recalcar una cosilla más: Si en algún momento estáis comprobando si se obtienen respuestas por parte del servidor ldap, parad antes el servicio nscd porque de otro modo, podría daros falsos resultados ofreciéndoos información de la caché.</div><div style="text-align: justify;"></div><br /><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Cuidado al configurar nscd (Name Service Cache Daemon)

Actualmente, en Debian tenemos dos alternativas para configurar un cliente con el fin de que éste pueda realizar búsquedas en ldap para la autentificación de usuarios:libnss-ldaplibnss-ldapdlibnss-lda…

Leer más »