AD 389和3268可以关闭吗

Question

您好，公司内部安全部门要求关闭AD服务器上的389和3268，说是高危端口，请问关闭后对加域的客户端有影响吗 ，环境中有SQL server 集群。谢谢

Answer 1

嗨，GUOSHUAICHEN，

感谢您在 Microsoft 社区论坛中发帖。

端口389和3268的作用

389端口：这是LDAP（Lightweight Directory Access Protocol，轻量目录访问协议）的标准端口。LDAP是一种用于访问和维护分布式目录信息服务的协议，它允许个人或应用程序查询和修改目录中的信息。在AD（Active Directory，活动目录）环境中，LDAP用于客户端与域控制器之间的通信，以检索目录信息，如用户账户、计算机账户、组信息等。

3268端口：这是LDAP的全局目录（Global Catalog）的端口。全局目录是AD的一个只读副本，包含了林中所有域中的部分信息，如用户、组、计算机等的基本信息。客户端可以使用LDAP通过3268端口访问全局目录，以检索跨域的信息。

关闭端口后的影响

对加域的客户端的影响：

如果关闭了389端口，LDAP服务将不可用，客户端将无法与域控制器进行正常的目录信息检索和修改操作。这可能导致客户端无法加入域、无法验证用户身份、无法访问域资源等问题。

同样，关闭3268端口将影响全局目录的访问。客户端在尝试跨域查询信息时，将无法访问全局目录，从而导致查询失败或无法找到所需的信息。

对SQL Server集群的影响：

SQL Server集群本身通常不直接依赖于389或3268端口。然而，如果SQL Server集群中的某些服务或应用程序依赖于AD进行身份验证或目录信息检索（例如，使用AD集成的安全性或依赖于AD组进行权限管理），那么关闭这些端口可能会对这些服务或应用程序造成影响。

另外，如果SQL Server集群中的节点需要加入AD域以进行集中管理和监控，那么关闭这些端口将阻止节点成功加入域，从而影响集群的整体管理和监控能力。

此致敬意

Neuvi

Answer 2

好的，非常感谢您的回复，很有帮助。