全局编录的加密端口
3269 是 Active Directory 全局编录的加密版本端口，对应的明文端口是 3268。域内许多应用需要查询全局编录来完成用户登录与资源定位，启用证书后的环境会要求走加密查询。证书是否有效，直接决定这条通道能不能用。
基本信息
| 服务 | Microsoft Global Catalog over SSL |
|---|---|
| 协议 | TCP |
| 对应明文口 | 3268 |
| 用途 | 加密的跨域目录查询 |
| 安全等级 | 仅内网域网络 |
典型使用场景
- 应用通过加密连接查询全局编录做用户认证
- 排查登录异常，确认证书与应用连接配置
- 域环境加固后把明文查询切换为加密查询
- 证书到期前的例行检查与更换
- 评估域内目录类端口是否只对内网开放
连通与证书检查
连通与证书检查
netstat -ano | findstr :3269
Test-NetConnection -ComputerName dc01 -Port 3269
# 图形工具可指定 3269 与 SSL 选项做加密查询测试
ldp.exe目录服务端口对照
| 端口 | 用途 | 说明 |
|---|---|---|
| 3268 | 全局编录明文 | 未加密查询，加固时应逐步淘汰 |
| 3269 | 全局编录加密 | 本条目，需要有效的服务器证书 |
| 636 | 目录服务加密 | 域控制器上的加密目录查询 |
| 389 | 目录服务明文 | 传统查询端口 |
排障顺序：先验证加密端口使用的证书是否过期、是否包含正确的主机名，再核对域名解析与域控记录是否完整。证书过期时加密查询会整体失效而明文端口往往仍然可用，这个差异是快速定位的线索。
目录服务端口只应对内网域网络开放。把加密或明文目录端口暴露到不受信网段，会让攻击者有机会枚举账号结构，再配合弱口令直接威胁整个域的安全。
运维提示：更换证书时先在测试环境验证客户端兼容性，再在生产滚动替换。部分老应用对证书链与加密套件有硬性要求，直接替换会引发难以定位的连接失败。
检查提示：加密目录查询依赖服务器的证书信任链，客户端侧也要装好对应的根证书，任何一侧缺失都会表现为握手失败。