有什么方法可以查询域控制器上的 LDAP 绑定？

Question

我正在计划重建 DC，并且在降级旧的 DC 之前，我正在尝试尽可能彻底。有没有办法通过源 IP 或主机名查看到 DC 的所有 LDAP 连接？

Answer 1

如果您想尽可能彻底，请记住 LDAP 不是域控制器提供的唯一服务。例如，您可以将 100 个 Linux 服务器配置为使用该域控制器作为 DNS 解析器。（或NTP时间等）

但是，为了更直接地回答您的问题，您可以使用多种技术来找到针对此域控制器执行 LDAP 绑定的客户端，并取得了不同程度的成功。

• 在NTDS\LDAP Client Sessions性能计数器。（这样做的局限性在于，这并不能帮助您识别谁在使用 LDAP，只是有人在使用。另外请记住，此计数器仍会显示一些连接，因为 DC 甚至会与自身保持多个 LDAP 连接。）
• Active Directory 诊断数据收集器集。（它也在 perfmon 中，非常棒。）
• 网络监视器/Wireshark。
• 如果您使用 Windows 防火墙，那么它能够记录所有连接（如果您将其配置为这样做）。
• 将注册表项的值更改HKLM\SYSTEM\CurrentControlSet\services\NTDS\Diagnostics -> 15 Field Engineering为 5，然后设置HKLM\SYSTEM\CurrentControlSet\services\NTDS\Parameters -> Expensive Search Results Threshold为 1。这“欺骗” AD 认为实际上每个 LDAP 查询都是一个“昂贵”的查询，因为值 1 意味着“如果在此期间甚至接触了 1 个对象查询，然后认为它很贵。” 这些事件将记录到目录服务日志中，它们包括客户端 IP 地址。

与我的第一段一样，还要记住，仅仅因为没有人绑定到您的 LDAP 服务器，甚至并不意味着没有人在使用 LDAP！LDAP 也有一个 UDP 组件，通常称为 cLDAP... 无连接 LDAP，它在 UDP 389 上运行。这不算作绑定，但是，Windows 客户端在域控制器定位器过程中仍然使用它。