凌晨 2:17，我站在葵涌机房 12 楼的冷通道里，手心还握着刚从托盘里拔下来的 NVMe。平台同学在群里刷屏：“学生高峰期登录全红，提示 authentication failed。”
负载均衡没报警，数据库健康，唯独认证模块时好时坏。香港到内地的回源延迟不稳定，我脑子里快速过一遍：不是应用写错，就是 LDAP/AD 的老生常谈——证书、加密、时间、Base DN、端口。这篇文章，就是那一夜到天亮的实战记录与后来沉淀出的可复用方案。

1. 场景与目标

关键词落地：香港服务器 + Windows Server 2019，在线教育平台（Web/App/小程序统一登录），后端以 AD 域控提供 LDAP/LDAPS 认证能力。目标是：

• 彻底解决“身份验证失败/间歇性失败”；
• 标准化 AD DS + LDAPS 部署；
• 给平台一个稳健、可观测、可扩容、易维护的认证栈。

1.1 硬件与网络基线（实配示例）

1.2 逻辑拓扑

DC01（域控）：Windows Server 2019，承担 AD DS/DNS/LDAPS（636）。

APP01（应用）：在线教育平台（.NET/Java/Node 任一），通过 LDAP/LDAPS 认证。

LB（可选）：四层负载均衡，健康检查 TCP 636。

监控：Prometheus + Windows Exporter + 日志集中（可用 WEC/WINRM）。

2. 标准部署流程（一步到位）

2.1 基础系统准备

固件/BIOS 更新到厂商 LTS 版本，开启 SR-IOV（如后续要虚拟化/容器旁路）。

Storage Spaces 做 2 路镜像（NVMe），写入缓存默认即可。

启用 Windows 防火墙（后面放行白名单端口）。

时间同步：香港时区 + 权威 NTP（避免 Kerberos/证书问题）。

tzutil /s "China Standard Time"
w32tm /config /manualpeerlist:"time.asia.apple.com,0x8 ntp.aliyun.com,0x8" /syncfromflags:manual /update
w32tm /resync

2.2 安装 AD DS 与 DNS，创建林/域

# 安装 AD DS 角色
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools

# 新建林与域（示例：edu.example.hk）
Install-ADDSForest `
  -DomainName "edu.example.hk" `
  -DomainNetbiosName "EDU" `
  -ForestMode WinThreshold `
  -DomainMode WinThreshold `
  -InstallDNS `
  -SafeModeAdministratorPassword (Read-Host -AsSecureString "DSRM Password") `
  -Force

重启后，DC01 将成为 域控 + DNS，自动注册 _ldap._tcp.dc._msdcs.edu.example.hk 等 SRV 记录。

2.3 组织结构与基础对象（自动化）

# 新建 OU
"Students","Teachers","IT","ServiceAccounts" | ForEach-Object {
  New-ADOrganizationalUnit -Name $_ -Path "DC=edu,DC=example,DC=hk"
}

# 服务账号（只读 LDAP）
New-ADUser -Name "ldap-reader" -SamAccountName "ldap-reader" `
  -Path "OU=ServiceAccounts,DC=edu,DC=example,DC=hk" `
  -AccountPassword (Read-Host -AsSecureString "LDAP Reader Password") `
  -Enabled $true -PasswordNeverExpires $true

# 只读委派（读取用户属性）
dsacls "DC=edu,DC=example,DC=hk" /G "EDU\ldap-reader:RPWP;user"

如果平台使用 mail、mobile、department 等属性，请在 Attribute Editor 确保已填充，或在入域流程里同步 HR 数据。

2.4 配置 LDAPS（636） —— 证书最容易“坑”的部分

要点：

• 证书必须在 本地计算机 -> 个人（Personal） 存储；
• 含 Server Authentication EKU；
• Subject Alternative Name（SAN）里必须包含 域控 FQDN（如 dc01.edu.example.hk）。

获取证书的两种方式：

A. 内建 AD CS（企业 CA）

适合大规模内网；把企业根证书自动分发到域内客户端。

B. 公有 CA + win-acme（Let’s Encrypt）

适合香港对公网开放的 LDAPS（注意防火墙与访问控制）。

示例（win-acme）：

在 DC01 上安装 win-acme；

确保 dc01.edu.example.hk 的 DNS 解析指向 DC01 公网（或走 DNS-01 验证）。

申请证书并安装到 LocalMachine\My：

• 选择 Manual Input，填 dc01.edu.example.hk
• 验证方式选 DNS-01（机房出站限制时更稳）
• 安装到 Windows Certificate Store（LocalMachine\My）

验证证书被 AD 识别：

# 查看是否存在 Server Authentication EKU 的有效证书
Get-ChildItem Cert:\LocalMachine\My | Where-Object {
  $_.EnhancedKeyUsageList.FriendlyName -contains "Server Authentication"
} | Select-Object Subject, NotAfter, Thumbprint

测试 LDAPS：

本机（ldp.exe → Connection → Connect → dc01.edu.example.hk:636 → 勾选 SSL）

远端：

# 从 APP01（或任意 Linux/WSL）：
openssl s_client -connect dc01.edu.example.hk:636 -showcerts -servername dc01.edu.example.hk
# 关注验证链 OK、证书 CN/SAN、协议/套件

2.5 安全基线（LDAP 签名、通道绑定、TLS）

组策略（GPO）（对域控生效）：

计算机配置 → 策略 → Windows 设置 → 安全设置 → 本地策略 → 安全选项：

Domain controller: LDAP server signing requirements → Require signing

Domain controller: LDAP server channel binding token requirements（KB4520412+）→ 推荐 When supported（1），验证兼容后改 Always（2）

TLS 版本与套件（SChannel）：

# 禁用 TLS1.0/1.1（评估后执行）
New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" -Force | Out-Null
New-ItemProperty -Path ...\TLS 1.0\Server -Name "Enabled" -PropertyType DWord -Value 0 -Force | Out-Null
# 同理对 TLS 1.1；确保 TLS 1.2 为 Enabled=1

防火墙放行（仅白名单源）：

# 典型端口：LDAP/389、LDAPS/636、Kerberos/88、DNS/53、GC/3268/3269
$ips = @("APP01_IP","LB_IP","跳板机IP")
$ports = 53,88,135,389,445,464,636,3268,3269,5722
foreach ($p in $ports) {
  New-NetFirewallRule -DisplayName "Allow_DC_Port_$p" -Direction Inbound -Protocol TCP -LocalPort $p -RemoteAddress $ips -Action Allow
}

注意：很多“间歇性失败”来自于不同路径上 L4/L7 设备的随机丢弃/重置，白名单 + 固定路径 是排除干扰的基本功。

3. 平台侧接入（以通用 LDAP 客户端为例）

连接参数建议：

连接参数建议：

示例配置（.NET appsettings.json）：

{
  "Ldap": {
    "Url": "ldaps://dc01.edu.example.hk:636",
    "BindDn": "CN=ldap-reader,OU=ServiceAccounts,DC=edu,DC=example,DC=hk",
    "BindPassword": "",
    "BaseDn": "DC=edu,DC=example,DC=hk",
    "UserFilter": "(|(memberOf=CN=Teachers,OU=Teachers,DC=edu,DC=example,DC=hk)(memberOf=CN=Students,OU=Students,DC=edu,DC=example,DC=hk))(sAMAccountName={0})",
    "Attributes": [ "sAMAccountName", "mail", "displayName", "mobile" ],
    "UseStartTls": false,
    "ValidateCertificates": true,
    "ConnectionPool": { "Enabled": true, "MaxSize": 50, "MinSize": 5, "IdleTimeoutSeconds": 120 }
  }
}

UPN vs sAMAccountName：跨林/多域或同名账号冲突时优先用 UPN（user@edu.example.hk），减少歧义。

4. 可观测与容量规划

性能计数器（PerfMon）：

• NTDS\LDAP Searches/sec、LDAP Client Sessions、Kerberos Authentications/sec
• Processor(_Total)\% Processor Time、LogicalDisk\Avg. Disk sec/Read

日志：

• 目录服务（Event Viewer → Directory Service）
• 安全日志（4624/4625 登录）
• Schannel（TLS 握手 36874/36888）
• 连接池：平台侧开启连接池，减少 TLS 握手的 CPU 抖动。
• 分页查询：开启 Paged Results，避免超出 AD 默认 MaxPageSize=1000。

容量基线（我方实测）：

5. “身份验证失败”的现场排障手记（复盘）

症状

• 高峰期大量 401，平台日志记录 LDAP bind failed、Socket closed；
• 域控 Schannel 日志出现 36887, 36874；
• 偶发 Event 2889（未签名/匿名绑定尝试被拒）。

快速分层定位

• 连通性：Test-NetConnection dc01.edu.example.hk -Port 636（APP01 → DC01）
• 证书链：openssl s_client ... 检查 SAN、链、过期、RSA/ECDSA
• 时间：w32tm /stripchart /computer:dc01.edu.example.hk /dataonly /samples:5
• 过滤器：改用 UPN 测试；使用 ldp.exe 手工 bind 验证 Base DN/Filter
• 安全策略：临时把 LDAP channel binding 降为 When supported 验证兼容性

根因（这次我们踩到的三个）

证书 SAN 缺失：只配了 CN=dc01…，SAN 空，部分客户端严格校验导致握手失败。
修复：重新签发带 DNS Name=dc01.edu.example.hk 的证书，安装到 LocalMachine\My。

时间漂移：APP01 的 NTP 指向默认 time.windows.com，高峰丢包导致 >5 分钟 偏差，Kerberos/证书全部不稳。
修复：统一 NTP，域控作上游从权威 NTP，同步后问题消失。

Filter 与 Base DN 写错：平台把 Base DN 指到 OU=Users，而我们人员在 OU=Students/OU=Teachers。
修复：调整 Base DN 为根 DC=edu,DC=example,DC=hk，Filter 限定成员组。

现场校验命令清单

# 端口
Test-NetConnection dc01.edu.example.hk -Port 636

# 证书（域控）
Get-ChildItem Cert:\LocalMachine\My | fl Subject, EnhancedKeyUsageList, NotAfter

# 事件
Get-WinEvent -LogName "Directory Service" -MaxEvents 20 | Select TimeCreated, Id, Message
Get-WinEvent -LogName "System" | ? {$_.Id -in 36874,36888,36887} | select TimeCreated, Id, Message

6. 强化与优化建议（上线后别松懈）

双 DC：至少两台域控（不同机柜/不同电源），站点内延迟 <2ms。

RODC（选）：边缘站点可用 RODC，降低跨境认证压力。

只读账号权限最小化：只授予读取必要属性，禁止写。

连接池与重试：平台侧超时 ≥3s，重试带 抖动退避。

GPO 基线：定期审计 LDAP 签名、CBT、NTLMv1 禁用、TLS1.2 强制。

证书轮换：Let’s Encrypt 90 天一更，配合 win-acme 自动续期 + 成功回调（重启 AD LDS/通知）。

观测：建立 Authentication SLO（如 99 线 < 250ms、错误率 < 0.5%），告警分级。

7. 端口与服务速查表

8. 常见坑清单（别问我怎么知道的）

只配 CN，不配 SAN → 严格客户端握手失败（必须加 DNS Name）。

时间偏差 → Kerberos 与 TLS 同时报错（统一 NTP）。

防火墙只放 389，不放 636 → 切到 LDAPS 后全红。

匿名或未签名绑定 在开启 Require signing 后会被拒（平台要改）。

Base DN 指错 OU，Filter 又只查 OU=Users。

UPN 后缀与外部域名不一致 → 改 UPN Suffix 或统一登录名策略。

TLS1.0/1.1 过早禁用 → 老客户端还在（先评估，再分批下线）。

9. 小结

天亮时分，机房外面开始有货柜车鸣笛。新的证书生效，NTP 同步压到 50ms 以内，平台 401 曲线掉回地面。我们在监控大屏前对视一眼，谁也没说“稳了”这两个字——只是把 LDAP channel binding 从 When supported 调到 Always，又盯了 30 分钟。
运维工作就是这样：把复杂的系统行为一点点变成可解释、可预测。等下一次凌晨两点，你也能知道先该看哪里、再该做什么。

10. 可复用的“一键式”脚本片段（摘）

用途：新 DC 初始化 + 基线安全 + 防火墙

# 1) 安装 ADDS
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest -DomainName "edu.example.hk" -DomainNetbiosName "EDU" -InstallDNS -Force

# 2) NTP
tzutil /s "China Standard Time"
w32tm /config /manualpeerlist:"time.asia.apple.com,0x8 ntp.aliyun.com,0x8" /syncfromflags:manual /update
w32tm /resync

# 3) GPO（LDAP 签名/CBT 需通过域级 GPO，下方为本地策略兜底）
New-Item "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" -Force | Out-Null
New-ItemProperty -Path ...\TLS 1.2\Server -Name "Enabled" -Value 1 -Type DWord -Force | Out-Null

# 4) 防火墙
$ips=@("APP01_IP")
$ports=53,88,135,389,445,464,636,3268,3269,5722
foreach($p in $ports){New-NetFirewallRule -DisplayName "Allow_DC_$p" -Direction Inbound -Protocol TCP -LocalPort $p -RemoteAddress $ips -Action Allow}

11. 现场核对清单（上线前 10 项）

•  ldp.exe 本机/远端均可 SSL 636 成功连接
•  证书 SAN 含 FQDN + EKU Server Authentication
•  平台使用 UPN 或 sAMAccountName，Filter 与 Base DN 正确
•  Require signing 生效，CBT 至少 When supported
•  防火墙放行端口（白名单）
•  统一 NTP，偏差 < 2s
•  连接池启用，超时/重试合理
•  监控指标与告警阈值就绪
•  证书自动续期验证过（回调）
•  预案：证书过期/域控宕机切换流程演练
• SEO 标题（完整且可直接用于投放）