全局编录是什么
全局编录（Global Catalog，GC）是 Active Directory 中一个特殊角色：它保存本域全部对象，并保存域林中其他域对象的部分属性副本，因此只查一台 GC 就能搜索整个林。默认端口是 3268（明文 LDAP 版），TLS 加密版走 3269，微软把 389/636 称为 DC 端口，把 3268/3269 称为 GC 端口。
基本信息
| 服务 | Microsoft Global Catalog（LDAP 版） |
|---|---|
| 协议 | TCP/UDP 3268；加密版 3269 |
| 对照端口 | 389/636 为普通 LDAP，3268/3269 为全局编录 |
| 典型客户端 | Exchange、跨域查询应用、子域域控 |
| 安全等级 | 仅内网域网络，禁止对外发布 |
典型使用场景
- 子域用户登录：登录过程需要 GC 解析通用组成员关系
- 跨域搜索：应用只配置一台 GC 就能查到林内所有域的用户与组
- 邮件系统地址簿：Exchange 的收件人解析与路由查询依赖 GC
- 排障定位：确认当前使用的域控是否为 GC，以及可用的 GC 清单
- 安全评估：GC 一旦被非域网段访问，可用匿名或低权账号枚举全林账号
测试 GC 端口与查询
测试 GC 端口与查询
Test-NetConnection dc01 -Port 3268 # 端口可达性
Get-ADDomainController -Discover -Service GlobalCatalog # 定位可用的 GC
nltest /dsgetdc:corp.example.com /gc # 列出域内 GC 清单
ldp.exe # 连接 3268 执行 base searchAD 目录服务端口对照
| 端口 | 服务 | 加密 |
|---|---|---|
| 389 | 普通 LDAP | 明文，可用 StartTLS 升级 |
| 636 | LDAPS | TLS 全程加密 |
| 3268 | 全局编录 | 明文 |
| 3269 | 全局编录 TLS | TLS 全程加密 |
| 88 | Kerberos | 协议自带加密 |
GC 不可用时最典型的症状是：能 ping 通域控，但登录与查通讯录失败；子域用户登录需要 GC 解析通用组，因此这台 GC 是否可达直接决定登录成功率。
3268 是明文 LDAP 版的 GC，对外发布从不建议；域内也要按网段限制来源，因为编录里包含整个林的账号与组结构，是最有价值的枚举目标。
加固与运维建议
- 按网段限制 GC 访问，只放行必要的应用服务器与域控管理网
- 关键应用配置多台 GC 地址，避免单点故障影响登录与跨域查询
- 排查时先确认查询发出的是 3268 还是 3269，避免端口与加密方式错配
- 定期核对提供 GC 服务的节点清单与实际拓扑是否一致
跨域查询还有一个易忽略点：GC 只保存其他域对象的部分属性，查不到的字段要回到对应域的域控上再查一次，否则会把属性缺失误判为权限问题。