网络协议---LDAPS协议

原创

老五
老五

老五说网络

2026年10月9日 16:00
陕西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、什么是 LDAPS

LDAPS = Lightweight Directory Access Protocol Secure 简单理解：LDAP + SSL/TLS 加密，是LDAP的安全版本，用于目录服务的身份认证、用户信息查询。

• LDAP：明文传输，端口 389
• LDAPS：SSL/TLS加密，端口 636（默认）

区分两个概念：LDAPS（636端口）和LDAP+StartTLS（389 端口）

1、LDAPS（636 端口）：直接在TCP连接上建立SSL/TLS，连接一开始就加密（SSL隧道）LDAP+StartTLS（389端口）

2、LDAP+StartTLS（389 端口）：先用389明文建立连接，客户端发送StartTLS指令，再升级成加密通道。很多人容易和LDAPS混淆。

二、用途

LDAP是目录协议，用来存放账号、组织结构、员工信息，常见场景：

• 企业域账号认证（OpenLDAP、Active Directory）
• 服务器、堡垒机、VPN、业务系统统一账号登录
• 邮箱、OA、运维平台拉取组织架构、人员信息

LDAPS解决的痛点： 原生LDAP走明文，账号密码在网络抓包可直接窃取；LDAPS全程加密，传输内容无法被窃听篡改。

三、核心工作原理

1. 客户端和服务器 TCP 636 建立连接
2. 握手协商SSL/TLS，校验服务端SSL证书（关键）
3. TLS隧道建立成功后，再传输LDAP操作（绑定认证、查询、修改）

四、LDAP，LDAPS，LDAP+StartTLS对比

五、Wireshark 抓包分析

第一阶段：TCP 三次握手（端口 636）

1. Client → Server：SYN，请求建立 TCP 连接，目的端口 TCP/636
2. Server → Client：SYN+ACK，同意建立连接
3. Client → Server：ACK，TCP 连接就绪

第二阶段：TLS 握手（LDAPS 核心区别于普通 LDAP）

LDAPS：TCP 连上之后立刻开始 TLS 握手，不传输任何 LDAP 协议数据。

1. ClientHello：客户端发送 TLS 版本、加密套件列表、随机数
2. ServerHello：服务端选定加密套件、服务端随机数
3. Server 下发：服务端证书链（客户端用来校验域名、有效期、信任根）
4. 双方交换密钥材料，协商会话密钥
5. ChangeCipherSpec：双方切换为加密模式
6. Finished 报文：验证 TLS 握手完整性

第三阶段：LDAP 业务交互阶段（TLS Application Data）

TLS 隧道建立后，所有 LDAP 报文被封装在 TLS Application Data（密文），不解密看不到 LDAP 原始 PDU

第四阶段：会话关闭、TLS 告警 + TCP 连接释放

公众号：老五说网络

长按左侧二维码关注