试图通过SSL证书验证LDAP，无法达到服务器

Question

我目前正在尝试使用以下VB.NET代码连接到LDAPS服务器，该代码应设置正确的参数，并使用下面的功能在调用绑定功能时验证证书。

ldaphost的值是IP，10.100.11.10，Ldapport的值为7636

connection = new LdapConnection(new LdapDirectoryIdentifier(LdapHost, LdapPort));
connection.AuthType = 2; // Negotiate
connection.SessionOptions.SecureSocketLayer = true;

connection.SessionOptions.VerifyServerCertificate = new VerifyServerCertificateCallback(VerifyServerCertificate);

//Both username and password are correct
connection.Credential = new System.Net.NetworkCredential(strUsername, strPassword); 
connection.Bind();

。 但是，在尝试验证服务器证书后，使用以下代码：

private bool VerifyServerCertificate(LdapConnection ldapConnection, X509Certificate certificate)
{
    try
    {
        X509Certificate2 certificate2 = new X509Certificate2(certificate);
        return certificate2.Verify();
    }
    catch (Exception ex)
    {
        throw new LdapException(9999, "Invalid certificate or path.");
    }
}

它在绑定函数上错误地说，它根本无法连接到LDAP服务器，并使用消息“ 无法达到LDAP服务器”。 尽管通过PowerShell测试了连接，但服务器可用。

我的验证方法有问题吗？我应该完全尝试其他方法吗？

Answer 1

我发现验证不起作用的原因。
使用

 X509Chain chain = new X509Chain();

 X509Certificate2 certificate2 = new X509Certificate2(certificate);
 var chainBuilt = chain.Build(certificate2);
 LogEvent("Val", 0, "Chain building status: " + chainBuilt);
 if (chainBuilt == false) {
     foreach (X509ChainStatus chainStatus in chain.ChainStatus)
         LogEvent("Val", 0, "Chain error: " + chainStatus.Status + " " + chainStatus.StatusInformation);
     chain.Reset();
     return false;
 }  else  {
     chain.Reset();
     return true;
  }

如果验证失败，则可以帮助我了解根证书在该特定服务器上不信任。
此外，它告诉我，它无法到达撤销服务器以检查证书是否仍然有效。

这无法检查，因为配置使用 starttls证书，没有撤销服务器。

因此，我添加了

chain.ChainPolicy.VerificationFlags = X509VerificationFlags.IgnoreRootRevocationUnknown | X509VerificationFlags.IgnoreEndRevocationUnknown | X509VerificationFlags.IgnoreCtlSignerRevocationUnknown;

忽略有关撤销服务器的每个属性。现在可以按预期连接。