我正在我的 Windows 服务器 (Windows server 2008 R2) 上设置一个新的 Active Directory。
389 端口可以正常使用。我需要使用 LDAPS 协议从其他系统修改密码。
根据这篇帖子https://support.microsoft.com/en-us/help/321051/how-to-enable-ldap-over-ssl-with-a-third-party-certification-authority，唯一的事情就是导入一个证书来启用LDAPS。
但是当我导入 SSL 证书并重新启动域控制器时，我看不到端口 636 正在打开。
我的 SSL 证书由 GeoTrust 颁发，用于网站。网站域与 AD DS FQDN 相同。我不确定是否可以。
如何检查问题所在？
【问题讨论】：
标签： active-directory
我将首先检查证书增强密钥使用情况，确保服务器身份验证 (1.3.6.1.5.5.7.3.1) 在增强密钥使用情况下。这可以通过打开证书并单击“详细信息”选项卡并滚动到“增强的密钥使用”来完成
在域控制器上打开 MMC 并使用本地计算机添加证书管理单元并验证证书是否在个人证书中。如果证书在那里，您可以双击“常规”选项卡下的证书，您是否在底部看到一行说明“您有与此证书对应的私钥。”？
当您说“我可以看到端口 636 正在打开”时，您是怎么做的？您是否在域控制器上运行 netstat 以查看服务器是否在列出？ 语法：netstat -an |找到“636” -a 显示连接和监听端口 -n 显示ip
find "636" 是为了过滤端口 636。因为这是一个域控制器，所以你会有很多连接。
另外，如果您可以访问 openssl，您可以尝试以下操作
语法：openssl s_client -connect domain_controller_ip:636
如果证书配置正确并且域正在侦听端口 636/tcp。您将获得证书信息返回。
【讨论】：
netstat 来检查监听端口。而且我确信证书在增强型密钥用法中包含Server Authentication (1.3.6.1.5.5.7.3.1)。另一个警告信息是： * LDAP over Secure Sockets Layer (SSL) 此时将不可用，因为服务器无法获取证书。附加数据错误值：8009030e 安全包中没有可用的凭据 *
问题是证书不匹配。
我的AD域是xyz.com，我以为我的证书Common Name应该是xyz.com，错了。
证书的右边Common Name应该是Full computer name或者Computer name+Domain。我的电脑名是ad，那么我需要证书的Common Name是ad.xyz.com。
【讨论】：