Resumen

  • RFC 3088 extraía un dominio de determinadas secuencias de componentes DC, consultaba registros SRV de _ldap._tcp y devolvía URL LDAP como referencias.
  • El servicio raíz era un punto de arranque, no una base global: el RFC recomendaba usar primero el servicio local y acudir a la raíz solo cuando otra instancia remitiera allí.

La primera respuesta en una búsqueda distribuida puede ser una dirección para continuar, no la respuesta misma. En abril de 2001, el Proyecto OpenLDAP describió un servicio raíz experimental que ayudaba a localizar servidores asociados a nombres LDAP basados en dominios. El texto no proponía una base universal de personas u organizaciones.

La ruta comenzaba con el nombre distinguido (DN). RFC 2247 permitía representar etiquetas DNS mediante componentes DC. RFC 3088 aplicaba una regla concreta: recorría los RDN de izquierda a derecha y componía el dominio a partir de una secuencia admisible de DC; un componente no apto reiniciaba la secuencia. Por eso, el resultado dependía de la estructura exacta del DN, no de quitar siempre un UID o un nombre del principio.

Con un dominio como example.net, el servicio preguntaba por _ldap._tcp.example.net. DNS SRV podía entregar varios objetivos y puertos. OpenLDAP construía una URL LDAP por objetivo y las devolvía como referencia. La letra pequeña importa: el servicio conservaba el orden del resolver y no aplicaba por su cuenta los campos de prioridad y peso de RFC 2782.

Cuando una operación básica recibía esa referencia, aún faltaba completar el recorrido. El cliente o un servidor intermedio tenía que seguir la URL y el servidor de destino procesar la operación. La raíz no agregaba las respuestas ni comprobaba si la entrada buscada existía. Una referencia, por tanto, probaba que se ofrecía un siguiente salto; no probaba que hubiese un registro vigente, completo o autorizado al final.

El diseño favorecía el servicio local. Los servidores podían remitir las consultas superiores a la raíz de OpenLDAP; a los clientes, en cambio, se les recomendaba usar el servicio local y acudir a la raíz únicamente si recibían una remisión. La raíz aportaba pegamento entre dominios, no sustituía los directorios de cada organización ni se convertía en un paso obligatorio para todo acceso.

El RFC insistía en el carácter experimental del mecanismo. La implementación descrita funcionaba con LDAPv3 y LDAPv2+ sobre TCP/IPv4; LDAPv2 no podía representar referencias. El servicio aceptaba vínculos anónimos, rechazaba otros intentos y no cifraba ni protegía la integridad de la información. El propio RFC señalaba la exposición a falsificación DNS y a denegación de servicio. La integridad de una sesión LDAP tampoco validaba por sí sola la información DNS usada para construir la referencia.

Su sección de experiencia decía que el servicio corría en un solo host y que sus autores creían posible escalarlo mediante balanceo habitual si hiciera falta. Es un relato acotado de la época, no una prueba de capacidad, disponibilidad garantizada ni adopción general.

Fuentes