امضای LDAP^{(LDAP signing)} یک روش احراز هویت در سرور ویندوز^{(Windows Server)} است که می تواند امنیت سرور دایرکتوری را بهبود بخشد. پس از فعال شدن، هر درخواستی را که درخواست امضا نداشته باشد یا در صورتی که درخواست از رمزگذاری نشده SSL/TLS استفاده می‌کند، رد می‌کند. در این پست، نحوه فعال کردن امضای LDAP را در ^(LDAP)ویندوز سرور^{(Windows Server)} و ماشین های کلاینت به اشتراک خواهیم گذاشت. LDAP مخفف   Lightweight Directory Access Protocol (LDAP) است.

نحوه فعال کردن ثبت نام LDAP در رایانه های ویندوزی^(Windows)

برای اطمینان از اینکه مهاجم از کلاینت LDAP جعلی برای تغییر پیکربندی سرور و داده ها استفاده نمی کند، فعال کردن امضای LDAP ضروری است. ^(LDAP)به همان اندازه مهم است که آن را در ماشین های مشتری فعال کنید.

1. ^(Set)شرط امضای LDAP سرور را تنظیم کنید
2. ^(Set)با استفاده از خط مشی رایانه محلی^(Local) ، الزامات امضای LDAP مشتری را تنظیم کنید
3. ^(Set)با استفاده از Domain Group Policy Object^{(Domain Group Policy Object)} الزامات امضای LDAP مشتری را تنظیم کنید
4. ^(Set)با استفاده از کلیدهای رجیستری^(Registry) ، الزامات امضای LDAP مشتری را تنظیم کنید
5. نحوه تأیید تغییرات پیکربندی
6. چگونه مشتریانی را پیدا کنیم که از گزینه " نیاز^(Require) به امضا" استفاده نمی کنند

بخش آخر به شما کمک می‌کند تا مشتریانی را که Require signing را^{(do not have Require signing enabled)} در رایانه فعال نکرده‌اند، کشف کنید. این یک ابزار مفید برای مدیران فناوری اطلاعات است تا آن رایانه ها را ایزوله کنند و تنظیمات امنیتی را در رایانه ها فعال کنند.

1] شرط امضای LDAP سرور را تنظیم کنید^(Set)

1. باز کردن کنسول مدیریت مایکروسافت^{(Microsoft Management Console)} (mmc.exe)
2. File >  Add /Remove Snap-in را انتخاب کنید >  Group Policy Object Editor را انتخاب کنید و سپس  Add را انتخاب کنید .
3. ویزارد Group Policy^{(Group Policy Wizard)} را باز می کند . روی^(Click) دکمه Browse کلیک کنید و به جای Local Computer گزینه  Default Domain Policy را انتخاب کنید^{(Default Domain Policy)}
4. بر روی^(Click) دکمه OK و سپس بر روی دکمه Finish کلیک کرده و آن را ببندید.
5. Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies را انتخاب  کنید و سپس Security Options را انتخاب کنید.
6. روی Domain controller: LDAP server signing requirements^{(Domain controller: LDAP server signing requirements)} کلیک راست کنید  و سپس Properties را انتخاب کنید.
7. در   کادر محاوره ای  Domain controller: LDAP signing server requires Properties ، Define this policy setting را فعال کنید،  Require signing را در لیست Define this policy setting را^{(Require signing in the Define this policy setting list,)} انتخاب کنید و سپس OK را انتخاب کنید.
8. تنظیمات را دوباره بررسی کنید و آنها را اعمال کنید.

2] با استفاده از خط مشی رایانه محلی، الزامات امضای LDAP مشتری را تنظیم کنید^(Set)

1. Run prompt را باز کنید و gpedit.msc را تایپ کنید و کلید Enter را فشار دهید .
2. در ویرایشگر خط مشی گروه، به Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies و سپس  Security Options را انتخاب کنید.^{(Security Options.)}
3. روی امنیت شبکه: الزامات امضای کلاینت LDAP^{(Network security: LDAP client signing requirements)} کلیک راست کنید و سپس Properties را انتخاب کنید.
4. در   کادر محاوره ای  Network Security: LDAP signing client requirements Properties ، Require signing را در لیست انتخاب کنید و سپس OK را انتخاب کنید.
5. تغییرات را تایید و اعمال کنید.

3] با استفاده از یک شیء Group Policy Object ، الزامات امضای ^{(Group Policy Object)}LDAP کلاینت را تنظیم کنید^(Set)

1. کنسول مدیریت مایکروسافت (mmc.exe) را باز کنید^{(Open Microsoft Management Console (mmc.exe))}
2. File  >  Add/Remove Snap-in >Group Policy Object Editor را انتخاب   کنید  و سپس  Add را انتخاب کنید .
3. ویزارد Group Policy^{(Group Policy Wizard)} را باز می کند . روی^(Click) دکمه Browse کلیک کنید و به جای Local Computer گزینه  Default Domain Policy را انتخاب کنید^{(Default Domain Policy)}
4. بر روی^(Click) دکمه OK و سپس بر روی دکمه Finish کلیک کرده و آن را ببندید.
5. Default Domain Policy  >  Computer Configuration  >  Windows Settings  >  Security Settings  >  Local Policies را انتخاب  کنید و سپس  Security Options را انتخاب کنید .
6. در  کادر محاوره ای  Network Security: LDAP signing client requirements Properties  ، ^{(Network security: LDAP client signing requirements Properties )}Require signing  را در لیست انتخاب کنید و سپس  OK را انتخاب کنید .
7. تغییرات را تایید کنید^(Confirm) و تنظیمات را اعمال کنید.

4] با استفاده از کلیدهای رجیستری، الزامات امضای LDAP مشتری را تنظیم کنید^(Set)

اولین و مهمترین کاری که باید انجام دهید این است که از رجیستری خود یک نسخه پشتیبان تهیه کنید

• ویرایشگر رجیستری را باز کنید
• به HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• روی قسمت سمت راست کلیک کنید^{(Right-click)} و یک DWORD جدید با نام LDAPServerIntegrity ایجاد کنید.^{(LDAPServerIntegrity)}
• آن را به مقدار پیش فرض خود رها کنید.

<InstanceName >: نام نمونه AD LDS که می خواهید تغییر دهید.

5] نحوه^(How) بررسی اینکه آیا تغییرات پیکربندی اکنون نیاز به ورود به سیستم دارد یا خیر

برای اطمینان از کارآمد بودن خط مشی امنیتی در اینجا نحوه بررسی یکپارچگی آن است.

1. به رایانه‌ای وارد شوید که ابزارهای مدیریت AD DS^{(AD DS Admin Tools)} را نصب کرده است.
2. Run prompt را باز کنید و ldp.exe را تایپ کنید و کلید Enter را فشار دهید . این یک رابط کاربری است که برای پیمایش در فضای نام Active Directory استفاده می شود^{(Active Directory)}
3. Connection > Connect را انتخاب کنید.
4. در  Server  and  Port ، نام سرور و پورت غیر SSL/TLS سرور دایرکتوری خود را تایپ کرده و OK را انتخاب کنید.
5. پس از برقراری ارتباط، Connection > Bind را انتخاب کنید.
6. در  قسمت Bind^(Bind) type،  Simple bind را انتخاب کنید.
7. نام کاربری و رمز عبور را تایپ کرده و OK را انتخاب کنید.

اگر پیغام خطایی دریافت کردید که می‌گوید  ()Ldap_simple_bind_s شکست خورد: تأیید اعتبار قوی مورد نیاز^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} است، در این صورت سرور دایرکتوری خود را با موفقیت پیکربندی کرده‌اید.

6] نحوه^(How) پیدا کردن مشتریانی که از گزینه " نیاز^(Require) به امضا" استفاده نمی کنند

هر بار که یک ماشین کلاینت با استفاده از یک پروتکل اتصال ناامن به سرور متصل می شود، شناسه رویداد 2889^{(Event ID 2889)} را تولید می کند . ورودی گزارش همچنین شامل آدرس IP مشتریان خواهد بود. شما باید با تنظیم 16  LDAP Interface Interface^{(LDAP Interface Events)}  Diagnostic تنظیمات تشخیصی روی  2 (Basic) این را فعال کنید. ^{(2 (Basic). )}در اینجا در Microsoft^{(here at Microsoft)} بیاموزید که چگونه ثبت رویدادهای تشخیصی AD و LDS را پیکربندی کنید .

امضای LDAP^{(LDAP Signing)} بسیار مهم است، و امیدوارم بتواند به شما کمک کند تا به وضوح درک کنید که چگونه می‌توانید امضای LDAP را در ^(LDAP)سرور ویندوز^{(Windows Server)} و در ماشین‌های کلاینت فعال کنید.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• پیکربندی Remote Access Client Account Lockout در Windows Server

• سهام اداری غیر فعال کردن از Windows Server

• Iperius Backup: نرم افزار به طور خودکار پشتیبان گیری در Windows 10

• چگونه برای فشرده سازی Bloated Registry HIVES در Windows Server

• چگونه به Enable & Configure DNS Aging و Scavenging در Windows Server

• چگونه برای ایجاد یک VPN Server عمومی در Windows 10

• نحوه رفع خطای RPC Server is Unavailable در ویندوز

• Synchronize Windows 10 Clock با Internet Time Server

• Windows Camera Frame Server service به طور غیر منتظره خاتمه یافت

• Use Vssadmin command-line برای مدیریت VSS در Windows 10

• نحوه راه اندازی یک سرور FTP در ویندوز با استفاده از IIS

• چگونه برای اضافه کردن و یا تغییر Time Server در Windows 10

• چگونه برای حذف Roles and Features در Windows Server

• DHCP Client Service می دهد Access Denied error در Windows 11/10

• Install Remote Server Administration Tools (RSAT) در ویندوز 10

• Access FTP Server با استفاده از Command Prompt در Windows 10

• نحوه تغییر سرور DNS در ویندوز 11

• Public DNS Server Tool DNS changer رایگان برای Windows 10 است

• رفع خطای Windows Media Player Server Execution Failed

• چگونه برای فعال کردن DNS Client Service اگر در Windows 10 خاکستری