Почему LDAP с STARTTLS предпочтительнее LDAPS
Ваш комментарий о том, что telnet подходит не во всех случаях, озадачил меня, поэтому я провел быструю трассировку сети при подключении к некоторым произвольным портам (, в данном случае к серверу HTTP и серверу DICOM ).
Во всех случаях я могу подтвердить, что telnet просто открывает свой сокет для TCP-соединения, но не пытается ни читать из него, ни писать в него, пока вы явно не наберете строку.
Это означает, что ваш стек TCP просто инициирует стандартное рукопожатие TCP, и три задействованных пакета (SYN/SYN -ACK/ACK )будут единственными, которые когда-либо будут перемещаться по сети. Они, конечно, не относятся к какому-либо приложению.
tl;dr Мне кажется, что telnet на самом деле абсолютно подходит для проверки того, открыт ли определенный порт или нет, независимо от протокола, на котором говорит сервер, слушающий его.
STARTTLS only upgrades to an encrypted connection once the authentication is successful
Вы уверены? При использовании SMTP сначала запускается TLS, а аутентификация выполняется по зашифрованному соединению. Это предполагает, что LDAP работает так же:
This value activates STARTTLS encryption for any server-side traffic that requires STARTTLS encryption. In this case, the BIG-IP system activates STARTTLS when a successful connection is made.
Общие сведения о STARTTLS:
I am just wondering why is LDAP with STARTTLS is a more preferred industry standard over LDAPS.
Некоторые причины использовать STARTTLS, а не всегда использовать зашифрованное соединение:
- Клиенты, не поддерживающие STARTTLS, по-прежнему могут подключаться и получать -допустимую ошибку протокола, которую они могут показать пользователю. Клиенты, не поддерживающие шифрование, вообще не смогут подключиться к серверу LDAPS. Это означает, что когда требуется TLS, STARTTLS обеспечивает лучшую диагностику.
- STARTTLS потенциально также может обеспечить более качественную диагностику, когда требуется TLS и клиент поддерживает его, но по какой-либо причине рукопожатие не выполняется.
- STARTTLS может быть необязательным.Когда это так, один порт обслуживает как клиентов с шифрованием, так и клиентов с открытым текстом. При использовании LDAPS клиент должен правильно указать порт, иначе соединение не будет установлено.