安全 LDAP 身份验证问题

Question

我在服务器 1 和服务器 2 上的 ASP.NET 4 (4.0.30319) 应用程序池中部署的网络表单的代码中使用以下 C# 代码。

PrincipalContext pc = new PrincipalContext(ContextType.Domain, "testnet.testad.org:636", "dc=testnet,dc=testad,dc=org");
bool validated = pc.ValidateCredentials(username, password, ContextOptions.Negotiate);

Server1 正在运行： windows server 2003 SP2
IIS 6.0
ASP.NET 版本 4.0.30319

验证需要 30-60 秒，具体取决于选项。
（注意：使用常规 ldap 会立即进行身份验证，没有延迟）

服务器 2 正在运行： Windows 服务器 2008 SP2
IIS 7.0
ASP.NET 版本 4.0.30319

运行与 Server1 完全相同的代码，Server2 几乎可以立即进行身份验证。
（我还尝试了针对另一台 IIS 7.0 服务器的代码，结果相同）

以前有人遇到过这个问题吗？
在 IIS 6.0 服务器与 IIS 7.0 服务器上是否有另一种身份验证方式？
有什么我需要配置、添加、删除等的吗？

感谢您对此的任何帮助。

.................................................. ..................................................... ................................................

[更新]

我在发出 ldaps 身份验证请求时打开了 wireshark。
我创建了一个包含超过 636 的所有请求的文件。
可以在这里查看：Server1 636 traffic

发现最大的差距是：

没有。 1949 年 1.115583 秒 - 编号 06788 14.501754 秒
和
14.64297 秒 6803 号 - 27.921379 秒 11742 号

该端口上的所有其他流量都在同一秒内发生。

注意：Server2 上的流量大致相同，但都发生在 2-3 秒之间。
可以在这里查看：Server2 636 traffic

我在登录时运行了 netstat -ano” 命令并发现了以下 ldaps 连接：

原始本地地址外部地址状态 PID
TCP 10.1.72.74:1761 10.1.72.54:636 已建立 3688
TCP 10.1.72.74:1800 10.1.72.54:636 已建立 3688
TCP 10.1.72.74:1825 10.1.72.54:636 已建立 3688

Answer 1

检查注册表项以查看支持的 SSL/TLS 版本；可能导致握手问题的问题...（请参阅下面给出的链接中的场景 5）

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

对于一些相关场景及其解决方案，请阅读troubleshooting ssl related issues server certificate

Answer 2

PrincipalContext 的ValidateCredentials 方法基本上是 LDAP 绑定操作的包装器。为此要阅读的两篇关键文章是IADsOpenDSObject::OpenDSObject 和LDAP ADsPath。

您正在使用 SSL，因此如果您希望它尽可能高效，则需要指定它。 ValidateCredentials 方法的 ContextOptions 参数的文档实际上听起来不支持这个：

一个或多个 ContextOptions 枚举值的组合用于绑定到服务器的选项。此参数只能指定带或不带 SSL 的简单绑定，或协商绑定。

假设我误解了文档并且ValidateCredentials 方法确实支持指定Negotiate | SecureSocketLayer，你需要看看你是如何发送用户名的。在 OpenDSObject 文章中，它给出了关于用户名格式的建议：

您可以将 lpszUserName 作为以下字符串之一传入：

1. 用户帐户的名称，例如“jeffsmith”。要单独使用用户名，您必须仅在 lnReserved 参数中设置 ADS_SECURE_AUTHENTICATION 标志。

2. 来自以前版本的 Windows NT 的用户路径，例如“Fabrikam\jeffsmith”。

3. 专有名称，例如“CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=Com”。要使用 DN，lnReserved 参数必须为零，或者必须包含 ADS_USE_SSL 标志

4. 用户主体名称 (UPN)，例如“jeffsmith@Fabrikam.com”。要使用 UPN，您必须为目标用户对象的 userPrincipalName 属性分配适当的 UPN 值。

您正在设置 SSL 标志，因此您必须使用 2、3 或 4。

附：在您的示例代码中，您在构造函数中指定域的 DNS 名称。如果您在真实代码中指定服务器，则需要添加 ServerBind 标志。

Answer 3

看看我在ServerFault的回答...

服务可能无法访问：

C:\文档和设置\所有用户\应用程序 数据\Microsoft\Crypto\RSA\MachineKeys

您的提及：

日期：2013 年 3 月 25 日时间：上午 10:11:06 来源：Schannel “致命错误 尝试访问 SSL 客户端凭据私有时发生 键。

让它成为可能。