需要哪些端口才能对防火墙后面的另一个域中的 ldap 服务器进行身份验证？

Question

我有一个运行 的 Linux 域sssd，我们称这个域为 NJ。

我希望 NJ 域上的机器能够针对位于防火墙后面的不同域（称为 NY）上的 Active Directory ldap 服务器进行身份验证。

是否只允许两个域之间的端口 389 就足够了，或者是否有任何其他端口需要 NJ 域上的机器对 NY 域中的 ldap 服务器进行身份验证？

Answer 1

您应该使用 TCP 端口 389 和/或 636。端口 636 用于 LDAPS，即 LDAP over SSL。也可以使用 STARTTLS 机制在端口 389 上加密，但在这种情况下，您应该明确验证是否正在完成加密。

微软的知识库文章说：

• 启动 TLS 扩展请求

  LDAPS 通信通过端口 TCP 636 进行。与全局编录服务器的 LDAPS 通信通过 TCP 3269 进行。连接到端口 636 或 3269 时，在交换任何 LDAP 流量之前协商 SSL/TLS。Windows 2000 不支持启动 TLS 扩展请求功能。

另请参阅相关的服务器故障问题。

Answer 2

只要仅 LDAP 身份验证（而不是 AD/Kerberos 等）389 就足够了。