配置 LDAP 身份验证
您可以配置 NetScaler Gateway 以使用一个或多个 LDAP 服务器对用户访问进行身份验证。
LDAP 授权要求 Active Directory、LDAP 服务器和 NetScaler Gateway 上的组名相同。字符和大小写也必须匹配。
默认情况下，LDAP 身份验证通过使用安全套接字层 (SSL) 或传输层安全 (TLS) 来确保安全。有两种类型的安全 LDAP 连接。其中一种类型是，LDAP 服务器在与 LDAP 服务器用于接受明文 LDAP 连接的端口不同的端口上接受 SSL 或 TLS 连接。用户建立 SSL 或 TLS 连接后，LDAP 流量可以通过该连接发送。
LDAP 连接的端口号为：
-
389 用于不安全的 LDAP 连接
-
636 用于安全的 LDAP 连接
-
3268 用于 Microsoft 不安全的 LDAP 连接
-
3269 用于 Microsoft 安全的 LDAP 连接
第二种类型的安全 LDAP 连接使用 StartTLS 命令并使用端口号 389。如果您在 NetScaler Gateway 上配置端口号 389 或 3268，服务器会尝试使用 StartTLS 建立连接。如果您使用任何其他端口号，服务器会尝试使用 SSL 或 TLS 建立连接。如果服务器无法使用 StartTLS、SSL 或 TLS，连接将失败。
如果您指定 LDAP 服务器的根目录，NetScaler Gateway 会搜索所有子目录以查找用户属性。在大型目录中，这种方法可能会影响性能。因此，Citrix 建议您使用特定的组织单位 (OU)。
下表包含适用于 LDAP 服务器的用户属性字段的示例：
| LDAP 服务器 | 用户属性 | 区分大小写 |
|---|---|---|
| 微软活动目录服务器 | sAMAccountName | 否 |
| 诺维尔 e目录 | ou | 是 |
| IBM 目录服务器 | 用户 ID | 是 |
| 莲花 Domino | CN | 是 |
| Sun ONE 目录（原 iPlanet） | uid 或 cn | 是 |
此表包含基本 DN 的示例：
| LDAP 服务器 | 基本 DN |
|---|---|
| 微软活动目录服务器 | DC=citrix,DC=本地 |
| 诺维尔 eDirectory | ou=用户,ou=开发 |
| IBM Directory 服务器 | cn=用户 |
| 莲花 多米诺 | OU=城市,O=Citrix, C=US |
| Sun ONE 目录（前身为 iPlanet） | ou=人员,dc=citrix,dc=com |
下表包含绑定 DN 的示例：
| LDAP 服务器 | 绑定 DN |
|---|---|
| 微软活动目录服务器 | CN=管理员, CN=用户, DC=citrix, DC=local |
| 诺维尔电子目录 | cn=管理员, o=citrix |
| IBM 目录服务器 | LDAP_dn |
| 莲花 Domino | CN=Notes 管理员, O=Citrix, C=US |
| Sun ONE 目录（原 iPlanet） | uid=admin,ou=管理员, ou=拓扑管理,o=NetscapeRoot |
注意：有关 LDAP 服务器设置的更多信息，请参阅 确定 LDAP 目录中的属性。