Ziel
Das AD/LDAP-Verbindungsprüfungstool ist ein Diagnosewerkzeug zur Validierung und Fehlerbehebung der LDAP-/LDAPS-Konnektivität zwischen Netwrix Password Secure und Microsoft Active Directory. Es bildet die Verbindungs- und Authentifizierungslogik nach, die Password Secure beim Aufbau einer Verzeichnisverbindung verwendet, und erstellt detaillierte technische Protokolle für die Analyse durch den Support.
Voraussetzungen
- Windows-Betriebssystem
- Netzwerkverbindung zu mindestens einem Domänencontroller
- Firewall-Regeln, die die erforderlichen Ports zulassen (389 für LDAP, 636 für LDAPS)
- Gültige Anmeldedaten für das Dienstkonto
- LDAPS-Zertifikat auf dem Domänencontroller installiert (bei Verwendung von SSL)
Nur für den Support-Gebrauch: Verwenden Sie dieses Tool nur, wenn Sie ausdrücklich vom Netwrix Support dazu angewiesen wurden — es ist nicht für die allgemeine Administration oder eigenständige Konfigurationsänderungen vorgesehen. Es ändert keine Active-Directory-Objekte, keine Domänenkonfiguration, speichert keine Anmeldedaten und ersetzt nicht die Produktivkonfiguration in Password Secure. Verbreiten Sie die erzeugten Protokolle nicht öffentlich (z. B. im Community-Forum), da sie Infrastrukturdetails enthalten können.
Schritte
- Testen Sie zunächst nur mit dem Flag Secure, um die grundlegende LDAP-Konnektivität zu validieren (Port 389).
- Fügen Sie das Flag SecureSocketsLayer hinzu, um LDAPS zu validieren (Port 636), falls Ihre Umgebung verschlüsselte Übertragung erfordert.
- Fügen Sie Signing und Sealing hinzu, wenn die Sicherheitsrichtlinien Ihrer Domäne LDAP-Signierung erzwingen.
- Stellen Sie dem Netwrix Support die vollständige Protokollausgabe zur Analyse bereit. Ändern Sie die Produktiveinstellungen von Password Secure nur, wenn der Support Sie dazu anweist.
Referenz für die oben verwendeten Authentifizierungs-Flags:
| Flag | Technische Bedeutung | Typisches Szenario |
|---|---|---|
| Secure | Verwendet NTLM- oder Kerberos-Authentifizierung | Standard-Domänenauthentifizierung |
| SecureSocketsLayer | Aktiviert LDAPS (SSL/TLS, TCP 636) | Verschlüsselter LDAP-Transport |
| Signing | Signiert den LDAP-Datenverkehr digital | Erforderlich, wenn LDAP-Signierung erzwungen wird |
| Sealing | Verschlüsselt die LDAP-Sitzungsdaten | Erforderlich in gehärteten Umgebungen |
| Encryption | Fordert Verschlüsselung auf Provider-Ebene an | Wird in sicheren Kommunikationskontexten verwendet |
- SecureSocketsLayer erfordert ein gültiges Zertifikat auf dem Domänencontroller.
- LDAP-Signierungsrichtlinien können sowohl Signing als auch Sealing erfordern.
- Falsche Flag-Kombinationen können zu Bind-Fehlern führen.
Interpretation der Tool-Ausgabe — schlägt die Verbindungsprüfung fehl, ordnen Sie den Fehlercode wie folgt zu:
- 0x8007203A ("The server is not operational"): Domänencontroller nicht erreichbar, DNS-Auflösung fehlgeschlagen, Firewall blockiert LDAP-/LDAPS-Ports, ungültiges SSL-Zertifikat (LDAPS) oder falscher Domänenname.
- 0x8007052E (Anmeldefehler): Ungültiger Benutzername oder Kennwort, Konto gesperrt oder abgelaufen, oder falsches Benutzernamensformat.
- Strong authentication required: Die Domäne erzwingt LDAP-Signierung, aber das Flag Signing oder Sealing fehlt, oder die SSL-Konfiguration ist inkompatibel.