Zugriff LDAP über Port 636 geht nicht überall

[karlh 10]

Hallo zusammen,

 

habe hier fünf DCs, der Zugriff per LDAP auf Port 636 geht aber nur auf drei der fünf DCs - wieso?

 

Hab nicht viele Infos dazu gefunden und benötige die Zugriffsmöglichkeit für alle DCs.

 

Karl

[phoenixcp 10]

Hallo Karl

 

Warum grade Port 639? LDAP ist doch afaik 389, oder?

Welche Fehlermeldung bekommst beim Connect konkret?

[karlh 10]

weil es die Software von HP so will?

 

Karl

[phoenixcp 10]

Wie gesagt, dann versorg uns doch mal mit ein paar mehr Infos:

- welche Fehlermeldung?

- welche Software bringt dir den Fehler?

[olc 18]

Hi,

 

686 ist LDAP/S - also würde ich vermuten, daß sicht alle DCs ein Server Authentication Zertifikat besitzen. Daher kann auf diesen DCs kein SSL verwendet werden.

Prüfe einmal alle auf dem DC vorhandenen "Personal"-Zertifikate - welche Templates / Verwendungszwecke haben die Zertifikate?

C:\> certutil -v -store MY

Ansonsten wie Carsten schon sagte: Mehr Infos wären nicht schlecht. ;)

 

Viele Grüße

olc

[phoenixcp 10]

Ok, könnten wir uns dann auch mal auf den betroffenen Port einigen.

Los gings gestern mit Port 639, jetzt ist es Port 636, 686 wäre LDAPS und 389 wäre LDAP.

 

Also um welchen Port dreht es sich bei dir?

[solinske 10]

Ich würde auch auf das fehlende Zertifikat tippen. Ist aber auch aus der Hüfte geschossen.

[olc 18]

Hi Carsten,

 

Karl hat es korrekt in seinem Beitrag geschrieben: Port 636

 

Danach hast Du es aus Versehen verdreht auf "639" und ich habe es aus Versehen verdreht zu "686". Somit sind wir die Bösewichte. :D

 

Der Port 636 ist jedenfalls LDAP/S und die Vermutung bleibt bestehen, daß den DCs schlichtweg die erforderlichen Zertifikate fehlen. ;)

 

Viele Grüße

olc

[karlh 10]

Hallo,

 

in der Anleitung von HP steht, man soll folgende Zeile im IE eintippen uns sich das Zertifikat kopieren: https://DomainController-01:636

 

Was ich nun nicht verstehe, warum funktioniert das mit dem Zertifikat laden nicht bei allen DCs? Ich kann das nur bei 3 von 5 DCs machen. Bei den beiden anderen DCs kommt eine Meldung, dass die Seite nicht angezeigt werden kann. Das Zertifikat hat sich der DC anscheinend von unserer zentralen Zertifizierungsstelle gezogen. Muss das bei den beiden DCs evtl. noch manuell gemacht werden?

 

Karl

[olc 18]

Hi Karl,

 

der angegebene Weg ist doch recht umständlich.

 

Schau doch einmal auf den problematischen DCs, ob überhaupt ein Domain Controller Authentication / Server authentication Zertifikat vorhanden ist.

Am einfachsten über MMC --> Snap-In hinzufügen --> Zertifikate --> lokaler Computer --> Eigene --> Zertifikate.

 

Falls nicht (oder abgelaufen), wäre hier der Ansatz das zu ändern. ;)

 

Viele Grüße

olc

[karlh 10]

Danke für die Info.

 

Hier sieht man eindeutig, dass nicht alle DCs überhaupt ein Zertifkat besitzen.

 

Bin somit schon einen gewaltigen Schritt weiter.

 

Karl