Active Directory根林域查询3268/3269端口不返回引用原因咨询

两种查询返回结果的差异本质是对接的Active Directory服务端点对应的数据集、查询逻辑完全不同：

• 默认636端口是LDAPS协议的普通域服务端口，对接DC上的标准LDAP服务。该服务仅存储当前DC所属域的全量可写目录数据，不持有林内其他子域的对象信息。当你以林根域DN作为搜索基执行子树搜索时，搜索范围覆盖整个林所有域，标准LDAP服务本地没有其他域的对象数据，就会返回*引用（referral）*响应，告知客户端需要跳转到对应子域的DC继续查询，不会直接返回跨域对象结果。即便查询对象就在根域，如果请求的属性关联跨域对象（比如跨域组成员关系），标准LDAP服务也会返回对应引用。
• 3269端口是*全局编录（Global Catalog, GC）*的LDAPS协议专属端口，对接DC上的GC服务。GC是AD林层面的特殊目录分区，会同步存储林内所有域所有对象的常用查询属性副本（包含你查询用到的sAMAccountName、memberOf等属性）。GC服务本身持有全林范围的查询所需数据，不需要跳转引用到其他DC，因此会直接返回匹配结果。

两组测试命令的对应逻辑标注如下：

# 对接普通LDAPS服务（默认636端口），跨域查询会返回引用
ldapsearch -H ldaps://company-abcd.com -x -D "test\testuser" -W -b "DC=company-abcd,DC=com" "sAMAccountName=testuser" memberOf

# 对接GC的LDAPS服务（3269端口），全林范围查询直接返回结果
ldapsearch -H ldaps://company-abcd.com:3269 -x -D "test\testuser" -W -b "DC=company-abcd,DC=com" "sAMAccountName=testuser" memberOf

你对端口和服务的对应关系理解是反向的：

• 3268（明文LDAP）/3269（加密LDAPS）本身就是全局编录服务的官方指定监听端口，指定这两个端口查询时，访问的就是目标DC上运行的GC服务，而非普通域服务。
• 同一台域控制器可以同时承担普通DC和GC角色，这种情况下它会同时监听两组端口：389/636对应普通LDAP服务、3268/3269对应GC服务。两个端口对应同一台服务器上的不同服务端点，对接的数据集、查询逻辑完全独立，不存在“指定3268/3269端口就是查询特定DC而非GC”的情况。
• 注意GC仅存储对象的部分常用属性，不会同步所有属性：比如memberOf属性在GC中仅存储通用组、全局组的成员关系，域本地组的成员关系不会同步到GC，这类属性就算走GC端口查询也拿不到完整值，需要到对象所属域的DC上通过普通LDAP端口查询全量数据。

内容的提问来源于stack exchange，提问作者sunder