ActiveDirectoryMembershipProvider“無法聯系指定的域或服務器。”

Question

我有一個使用ActiveDirectoryMembershipProvider授予用戶訪問權限的應用程序。 該應用程序托管在非域計算機上，在應用程序服務器和域控制器之間具有防火牆。

我們已經在內部網絡上向DC打開了LDAP端口 - 但無論我們嘗試什么，我們最終都會出現“無法聯系指定的域或服務器”的錯誤。

有沒有人對我如何解決這個問題有任何建議？ 我們已經嘗試了所有我們能想到的東西，但卻無法實現。

我的連接字符串是：

<add name="ADConnectionString"
    connectionString="LDAP://10.5.3.7:389/DC=MyTestDomain,DC=local"/>

我的提供者是：

<add name="ActiveDirectoryMembershipProvider"
    type="System.Web.Security.ActiveDirectoryMembershipProvider"
    connectionStringName="ADConnectionString"
    attributeMapUsername="SAMAccountName"
    connectionProtection="None"
    connectionUsername="LdapUser"
    connectionPassword="LdapPassword"   />

Answer 1

該應用程序托管在非域計算機上，在應用程序服務器和域控制器之間具有防火牆。

由於您可以使用LDAP工具直接查詢，這表明防火牆已正確打開。 但是，請記住， ActiveDirectoryMembershipProvider不使用普通的舊LDAP，而是使用Microsoft技術。 例如，如果設置connectionProtection="Secure" ，ADMP將嘗試使用SSL和端口636，如果失敗，它將使用Microsoft的內置IPSec簽名（有關詳細信息，請參閱此文章 ）。

無論如何，這讓我想起了幾件事：

1. AD域是否具有拒絕來自非域/未配置計算機的連接的IPSec“必需”策略？ （可能不是，因為你用普通的LDAP連接，但是值得研究。）
2. 您是否已將域控制器的NetBIOS名稱添加到lmhosts文件中，並將其DNS名稱添加到主機文件中？ （許多協議檢查其目標的報告名稱是否與您嘗試連接的名稱相匹配。）
3. 很多人都注意到在不同域之間使用ADMP的問題，並且該解決方案需要創建單向信任。 由於聽起來您的客戶端計算機不在域中，因此您不能擁有該信任 - 除非（a）它是具有單向信任的不同域的成員或（b）它是其成員相同的域，因此客戶端 - 服務器信任是隱含的。

Answer 2

似乎解決方案是打開端口445。

閱讀這個主題

我們不允許打開所以我想我被卡住了。

Answer 3

你可以使用這兩篇​​文章，可能會解決你的問題

www.ddj.com/windows/184406424

forums.asp.net/t/1408268.aspx

並檢查防火牆

Answer 4

我有這個錯誤，並設法解決它。 導致這種情況的原因有很多，這里有一個待辦事項列表來識別exect問題：

1. 創建一個微應用程序，使用單一方法Membership.GetAllUsers（），在Active Directory（AD）外部的機器上執行，連接字符串中的密碼不正確，檢查是否收到錯誤的密碼異常。 如果你沒有得到它，你無法連接到你的AD服務器，檢查防火牆，如果你確實得到無效的密碼異常，請轉到下一步。

2. 如果可以，嘗試在AD服務器上執行相同的app，localy，首先使用不正確的密碼，而不是正確的，在本地執行應用程序提供更詳細的異常有什么問題（對我來說這個例外導致我修復問題）。 在我的情況下，它告訴我服務器服務沒有啟動，因為工作站服務沒有啟動。

關於它需要服務器和工作站服務在服務器上運行這一事實的一些想法：afaik服務器服務用於Windows文件共享（TCP上的netbios），並且正在使用445端口，所以它可能是必須打開這個端口除了LDAP端口。 我的第二個觀察是如果事件445端口打開（netstat -an）它仍然無法正常工作，如果未在網絡接口適配器上檢查此客戶端的Windows客戶端和文件和打印機共享復選框，則winows會將所有數據包丟棄到此端口。 檢查“telnet External_IP 445”。 這就是我在遇到這個問題時收集到的所有信息。

Answer 5

您是否已使用LDAP瀏覽工具進行測試，從遠程復選框中查看它是否可以與此處使用的條件連接？ 即它是連接問題還是其他什么？

Answer 6

如果有人在這上面發現並且想要在牆上砸他們的頭...最近嘗試為我的公司在與當前環境不同的域中的AD服務器做所有這些。 使用提供的IP並獲得此處所述的故障。 甚至使用了像Softerra LDAP Admin這樣的工具，它運行良好，但是AccountManagement失敗了。

我們有一個公開暴露的URL連接到該IP地址（仍然只允許某些IP撥打電話）。 一旦我用提供的URL替換IP，它就像一個魅力。

希望這可以節省一些人頭上粉碎的時間我只是讓自己完成了。