Подписание LDAP^{(LDAP signing)} — это метод проверки подлинности в Windows Server , который может повысить безопасность сервера каталогов. После включения он будет отклонять любой запрос, который не запрашивает подпись или если запрос использует шифрование без SSL/TLS. В этом посте мы расскажем, как включить подписывание LDAP на ^(LDAP)Windows Server и клиентских компьютерах. LDAP расшифровывается как   облегченный протокол доступа к каталогам^{(Lightweight Directory Access Protocol)} (LDAP).

Как включить подписывание LDAP на компьютерах с Windows

Чтобы убедиться, что злоумышленник не использует поддельный клиент LDAP для изменения конфигурации и данных сервера, необходимо включить подписывание LDAP . Не менее важно включить его на клиентских машинах.

1. Установите^(Set) требование подписи сервера LDAP
2. Установите^(Set) требование подписи клиента LDAP с помощью политики локального компьютера.^(Local)
3. Установите^(Set) требование подписи клиента LDAP с помощью объекта групповой политики домена .^{(Domain Group Policy Object)}
4. Установите^(Set) требование подписи клиента LDAP с помощью ключей реестра .^(Registry)
5. Как проверить изменения конфигурации
6. Как найти клиентов, которые не используют опцию « Требовать^(Require) подпись»

Последний раздел поможет вам определить клиентов, у которых на компьютере не включено требование подписи^{(do not have Require signing enabled)} . Это полезный инструмент для ИТ-администраторов, позволяющий изолировать эти компьютеры и включить параметры безопасности на компьютерах.

1] Установите^(Set) требование подписи сервера LDAP .

1. Откройте консоль управления Microsoft^{(Microsoft Management Console)} (mmc.exe)
2. Выберите «Файл» >  « Добавить^(Add) /удалить оснастку» > выберите  «Редактор объектов групповой политики»^{(Group Policy Object Editor)} , а затем нажмите  « Добавить^(Add) » .
3. Откроется мастер групповой политики^{(Group Policy Wizard)} . Нажмите кнопку^(Click) « Обзор^(Browse) » и выберите  « Политика домена по умолчанию»^{(Default Domain Policy)} вместо «Локальный компьютер».
4. Нажмите кнопку^(Click) ОК, а затем кнопку Готово^(Finish) и закройте его.
5. Выберите  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies , а затем выберите Параметры безопасности.
6. Щелкните правой кнопкой мыши  Контроллер домена: Требования к подписи сервера LDAP^{(Domain controller: LDAP server signing requirements)} и выберите Свойства.
7. В  диалоговом окне « Свойства^(Properties) : Контроллер домена^(Domain) : требования к подписи сервера LDAP  » включите  « Определить^(Define) этот параметр политики», выберите  «Требовать подпись» в списке «Определить этот параметр политики»,^{(Require signing in the Define this policy setting list,)} а затем нажмите «ОК».
8. Перепроверьте настройки и примените их.

2] Установите^(Set) требование подписи клиента LDAP с помощью политики локального компьютера.

1. Откройте приглашение « Выполнить»^(Run) , введите gpedit.msc и нажмите клавишу Enter .
2. В редакторе групповой политики перейдите в раздел « Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies » и выберите  «Параметры безопасности».^{(Security Options.)}
3. Щелкните правой кнопкой мыши Сетевая безопасность: Требования к подписи клиента LDAP^{(Network security: LDAP client signing requirements)} и выберите Свойства.
4. В  диалоговом окне « Свойства : ^(Properties)Сетевая^(Network) безопасность: Требования к подписи клиента LDAP  » выберите  « Требовать подпись^{(Require signing)} » в списке, а затем нажмите «ОК».
5. Подтвердите изменения и примените их.

3] Установите^(Set) требование подписи клиента LDAP с помощью объекта групповой политики домена.^{(Group Policy Object)}

1. Откройте консоль управления Microsoft (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Выберите  « Файл»^(File)  >  Add/Remove Snap-in >  выберите  «Редактор объектов групповой политики^{(Group Policy Object Editor)} » и нажмите  « Добавить^(Add) » .
3. Откроется мастер групповой политики^{(Group Policy Wizard)} . Нажмите кнопку^(Click) « Обзор^(Browse) » и выберите  « Политика домена по умолчанию»^{(Default Domain Policy)} вместо «Локальный компьютер».
4. Нажмите кнопку^(Click) ОК, а затем кнопку Готово^(Finish) и закройте его.
5. Выберите  Политика домена по умолчанию^{(Default Domain Policy)}  >  Конфигурация компьютера^{(Computer Configuration)}  >  Параметры Windows^{(Windows Settings)}  >  Параметры безопасности^{(Security Settings)}  >  Локальные политики^{(Local Policies)} , а затем выберите  Параметры безопасности^{(Security Options)} .
6. В  диалоговом окне « Свойства: Сетевая безопасность: Требования к подписи клиента LDAP ^{(Network security: LDAP client signing requirements Properties )} » выберите  « Требовать подпись ^{(Require signing )} » в списке, а затем нажмите «  ОК^(OK) » .
7. Подтвердите^(Confirm) изменения и примените настройки.

4] Установите^(Set) требование подписи клиента LDAP с помощью ключей реестра.

Первое и самое главное, что нужно сделать, это сделать резервную копию реестра.

• Откройте редактор реестра
• Перейдите к HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Щелкните правой кнопкой мыши^{(Right-click)} на правой панели и создайте новый DWORD с именем LDAPServerIntegrity.
• Оставьте значение по умолчанию.

<InstanceName >: имя экземпляра AD LDS , которое вы хотите изменить.

5] Как^(How) проверить, требуют ли изменения конфигурации входа в систему

Чтобы убедиться, что политика безопасности работает, вот как проверить ее целостность.

1. Войдите на компьютер, на котором установлены средства администрирования доменных служб Active Directory^{(AD DS Admin Tools)} .
2. Откройте приглашение « Выполнить»^(Run) , введите ldp.exe и нажмите клавишу Enter . Это пользовательский интерфейс, используемый для навигации по пространству имен Active Directory .
3. Выберите «Подключение» > «Подключиться».
4. В  поле Сервер^(Server)  и  порт^(Port) введите имя сервера и не-SSL/TLS-порт вашего сервера каталогов, а затем нажмите кнопку ОК.
5. После установления соединения выберите Connection > Bind.
6. В разделе  Тип^(Bind) привязки выберите  Простая^(Simple) привязка.
7. Введите имя пользователя и пароль, а затем нажмите кнопку ОК.

Если вы получили сообщение об ошибке, в котором  говорится, что Ldap_simple_bind_s() не удалось: требуется строгая аутентификация^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} , значит, вы успешно настроили свой сервер каталогов.

6] Как^(How) найти клиентов, которые не используют опцию « Требовать^(Require) подпись»

Каждый раз, когда клиентский компьютер подключается к серверу с использованием небезопасного протокола подключения, он генерирует идентификатор события 2889^{(Event ID 2889)} . Запись журнала также будет содержать IP-адреса клиентов. Вам потребуется включить это, установив для параметра  диагностики  16  событий интерфейса LDAP значение ^{(LDAP Interface Events)}2 (базовый). ^{(2 (Basic). )}Узнайте, как настроить ведение журнала диагностических событий AD и LDS здесь, в Microsoft^{(here at Microsoft)} .

Подписание LDAP^{(LDAP Signing)} имеет решающее значение, и я надеюсь, что смог помочь вам четко понять, как включить подписывание LDAP в ^(LDAP)Windows Server и на клиентских компьютерах.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Настроить Remote Access Client Account Lockout в Windows Server

• Отключить административные акции от Windows Server

• Iperius Backup: Бесплатная доставка для автоматизации резервных копий в Windows 10

• Как compress Bloated Registry Windows Server

• Как Enable & Configure DNS Aging & Scavenging в Windows Server

• Как включить DNS Client Service, если Windows 10

• Setup Filezilla Server and Client: Screenshot and Video tutorial

• Install Remote Server Administration Tools (RSAT) на Windows 10

• GitAtomic - Git GUI Client для систем Windows

• Как установить IIS и настроить веб-сервер в XP

• Synchronize Windows 10 Clock с Internet Time Server

• Fix Windows Server Activation Error 0xc004f069

• Windows Update Client не удалось обнаружить с error 0x8024001f

• Как оставить Discord Server (2021)

• Удаленный доступ к компьютеру с Windows XP или Windows Server 2003

• DHCP Client Service дает Access Denied error в Windows 11/10

• Как автоматизировать Windows Server backup до Amazon S3

• Backup VMware Virtual Machines с Azure Backup Server

• Access FTP Server с использованием Command Prompt в Windows 10

• Как удалить Roles and Features в Windows Server