Windows 域控制器的负载平衡/冗余仅适用于 LDAP/LDAPS

Question

在我工作的地方，有许多应用程序使用 LDAP/LDAPS 查询 Active Directory，并且只能配置一个名称进行查询。

显然，如果该名称是域控制器，则存在单点故障。实现冗余的最佳方法是什么？我想我需要一个负载均衡器之类的东西，它知道域控制器是启动还是关闭。域控制器必须位于不同的站点中。还需要一个解决方案来处理 LDAPS。

我们目前正在尝试使用 DNS 别名 ldap。这是 DNS 循环，即它解析为多个域控制器，结合 BMC 巡逻脚本轮询域控制器并删除它们的 ldap。记录他们是否离线。但是在测试中，我们得到了一个特殊的（对我而言）结果，其中 ldap 查询 ldap。成功并且域控制器发送答案，但随后将引用发送到名称 LDAP://domaindnszones。并且几个（unix）应用程序在此时崩溃并尝试以“root”身份进行第二个查询，但失败了。

如果有任何想法，我将不胜感激...在此先感谢。

Answer 1

如果您的应用只想进行简单绑定，那么使用负载均衡器执行此操作并不少见。如果您可以对应用程序提出要求，您将需要为 LDAP/S 负载平衡端口 636。如果您的林中有多个域，则端口 3269 是全局编录 LDAP/S 端口。

就证书而言，您有两种选择：

1. 在每个 DC 上放置一个 SSL 证书，只使用 DC 的主机名，然后在 VIP 的负载平衡器上放置一个证书（例如 ldap.contoso.com）。让负载均衡器重新加密。

2. 在每个 DC 上放置一个 SSL 证书，其中包含 DC 的主机名和 ldap.contoso.com 的使用者备用名称 (SAN)。只需通过负载均衡器传递流量。

对于 #2，请务必注意，AD 只会绑定到在主题名称字段或 /first/ 主题备用名称字段中具有 DC 主机名的证书。