.net 如何检查ldap连接是否安全？

使用ldp和.net代码，我如何知道ldap连接是否真的由SSL保护？

我终于设法使用Wireshark测试了连接是否安全。 您可以将那里的过滤器设置为：tcp.port eq 636或tcp.port eq 389 因此，您将看到通过636和389端口的通信

我的结论是，ldap服务器在636端口上使用安全连接，即使ldp中没有检查ssl，如果设置了636端口，检查它也没有效果

我认为此复选框的目的是强制客户端使用ssl，因此如果服务器不支持端口中的ssl，则不会建立连接

当我使用来自c#代码的安全连接时，它默认为端口636，当它不安全时，它默认为389

---

使用代码中的安全连接的方法是将连接身份验证类型设置为ssl或在ldap路径中指定ssl端口。

端口号与此无关。389是非安全LDAP连接的标准定义端口，636是安全连接的标准定义端口。大多数服务器可以配置为使用任何端口作为安全端口，使用任何其他端口作为非安全端口。389和636只是基于标准的默认值。服务器可以配置为使用636作为非安全端口，使用389作为安全端口，尽管这是违反标准的违反直觉的配置。此外，可以使用StartTLS将389上的连接升级为安全连接，这样389也可以是安全的。

我知道端口可以进行不同的设置。我的答案基于默认设置。如果设置了不同的设置，您应该在答案中相应地更改它们。但是谢谢你的澄清。顺便说一句，我还没有测试一个案例，当我试图从代码安全连接，但在服务器中的端口设置为一个不同的端口比636。我假设在这种情况下，连接将失败，您必须手动设置端口。根DSE可能会提供属性，告知客户端LDAP服务器正在使用的安全端口和安全端口。例如，IBM Tivoli Directory Server提供了以下属性，可帮助LDAP客户端查找安全端口：secureport:636 security:ssltls port:389当然，并非所有LDAP供应商都在根DSE中提供此信息，即使他们提供了，您仍然需要知道非安全端口才能检索根DSE。我确认在.net代码中的DirectoryEntry对象中设置AuthenticationTypes.SecureSocketsLayer而不在ldap路径中指定端口会导致连接使用端口636，因此如果在ldap服务器中为ldap设置了其他端口，它可以在ldap路径中指定。如果连接不安全，不指定端口，.net将尝试在端口389上连接。所有这一切完全取决于LDAP服务器的配置方式。您所描述的当然是正常状态，但您忽略了通过端口389的STARTTLS，这是安全的。我发现自己这些天都在进行这些练习，只需键入

ldap

，因为WireShark筛选器会为您提供所需的实际ldap流量。使用SASL时，您可以判断它是否提供完整性保护（

SASL GSS-API完整性

）和/或隐私保护（

SASL GSS-API隐私

）。然而，这两个都是。