跨网络C# LDAP Active Directory认证问题：无法连接AWS域控制器

这种跨网络连接AWS上Domain Controller的问题我处理过好几次，咱们从最基础的点开始一步步排查：

1. 优先确认网络连通性（核心排查点） #

“无法联系服务器”大概率是网络层面的阻断，先把这个排除：

• 用telnet <aws-dc-ip> 389或者nc -zv <aws-dc-ip> 389测试默认LDAP端口的连通性；如果用LDAPS则测试636端口。如果连接超时或被拒绝，直接定位到网络规则问题：
  • 检查AWS DC所在安全组/网络ACL，有没有放行应用所在IP段对389/636端口的访问；
  • 检查应用侧的防火墙/网关，有没有允许出站到AWS DC IP的LDAP流量；
  • 确认应用和AWS DC之间的网络通路是否打通：比如有没有建立VPN、专线，或者DC是否有公网IP且允许公网访问（不建议直接公网暴露LDAP，优先私有网络互通）。

2. 验证DNS解析是否正常 #

如果你的应用是用DC的域名（比如dc.yourdomain.com）连接的，一定要确认解析是否正确：

• 在应用所在机器上执行nslookup dc.yourdomain.com或者dig dc.yourdomain.com，看返回的IP是不是AWS DC的实际IP；
• 如果解析失败，要么是应用侧DNS服务器没配置成能解析AWS域的服务器，要么是AWS DC的域名记录没在对应DNS服务器上注册。可以先手动在应用机器的hosts文件里添加DC域名和IP的映射，测试能不能连接，来验证是不是DNS的问题。

3. 检查AWS DC的本地配置 #

排除网络问题后，再看DC本身的设置：

• 确认DC的Windows防火墙（或第三方防火墙）有没有允许来自外部网络的LDAP/LDAPS请求；
• 检查LDAP服务的监听地址：打开ldp.exe连接本地DC，查看服务是否绑定到了能被外部访问的网卡IP，而不是仅绑定内部私有IP或127.0.0.1；
• 确认DC的域服务是否正常运行，在AWS上的DC有没有完成域同步，状态是否健康。

4. 核对应用的LDAP连接参数 #

最后再检查应用侧的配置：

• 确认连接字符串里的服务器地址、端口是否正确，有没有写错IP/域名；
• 如果用LDAPS，先确认DC的SSL证书是否有效，但“无法联系服务器”一般不是证书问题，不过可以先暂时切换到非SSL的389端口测试，排除SSL层面的干扰。

先从网络连通性开始排查，这是最常见的原因，一步步缩小范围应该能解决问题。

内容的提问来源于stack exchange，提问作者Daniel