एलडीएपी हस्ताक्षर ^{(LDAP signing)}विंडोज सर्वर^{(Windows Server)} में एक प्रमाणीकरण विधि है जो निर्देशिका सर्वर की सुरक्षा में सुधार कर सकती है। एक बार सक्षम होने पर, यह किसी भी अनुरोध को अस्वीकार कर देगा जो हस्ताक्षर करने के लिए नहीं कहता है या यदि अनुरोध गैर-एसएसएल/टीएलएस-एन्क्रिप्टेड का उपयोग कर रहा है। इस पोस्ट में, हम साझा करेंगे कि आप विंडोज सर्वर^{(Windows Server)} और क्लाइंट मशीनों में एलडीएपी^(LDAP) साइनिंग को कैसे सक्षम कर सकते हैं। LDAP का मतलब   लाइटवेट डायरेक्ट्री एक्सेस प्रोटोकॉल^{(Lightweight Directory Access Protocol)} (LDAP) है।

विंडोज^(Windows) कंप्यूटर में एलडीएपी^(LDAP) साइनिंग कैसे इनेबल करें

यह सुनिश्चित करने के लिए कि हमलावर सर्वर कॉन्फ़िगरेशन और डेटा को बदलने के लिए जाली LDAP क्लाइंट का उपयोग नहीं करता है, ^(LDAP)LDAP हस्ताक्षर को सक्षम करने के लिए यह आवश्यक है। क्लाइंट मशीनों पर इसे सक्षम करना भी उतना ही महत्वपूर्ण है।

1. ^(Set)सर्वर LDAP हस्ताक्षर आवश्यकता सेट करें
2. ^(Set)स्थानीय^(Local) कंप्यूटर नीति का उपयोग करके क्लाइंट LDAP हस्ताक्षर आवश्यकता सेट करें
3. ^(Set)डोमेन समूह नीति ऑब्जेक्ट^{(Domain Group Policy Object)} का उपयोग करके क्लाइंट LDAP हस्ताक्षर आवश्यकता ^(LDAP)सेट करें
4. ^(Set)रजिस्ट्री^(Registry) कुंजियों का उपयोग करके क्लाइंट LDAP हस्ताक्षर आवश्यकता सेट करें
5. कॉन्फ़िगरेशन परिवर्तनों को कैसे सत्यापित करें
6. उन ग्राहकों को कैसे खोजें जो “ हस्ताक्षर करने की आवश्यकता ” विकल्प का उपयोग नहीं करते हैं^(Require)

अंतिम खंड आपको उन ग्राहकों का पता लगाने में मदद करता है जिनके पास कंप्यूटर पर साइन इन करने की आवश्यकता नहीं है । ^{(do not have Require signing enabled)}यह उन कंप्यूटरों को अलग करने और कंप्यूटर पर सुरक्षा सेटिंग्स को सक्षम करने के लिए आईटी व्यवस्थापकों के लिए एक उपयोगी उपकरण है।

1] सर्वर एलडीएपी^(LDAP) हस्ताक्षर आवश्यकता सेट करें^(Set)

1. Microsoft प्रबंधन कंसोल^{(Microsoft Management Console)} खोलें (mmc.exe)
2. फ़ाइल चुनें >  स्नैप-इन  जोड़ें /निकालें > ^(Add)समूह नीति ऑब्जेक्ट संपादक^{(Group Policy Object Editor)} चुनें और फिर  जोड़ें^(Add) चुनें ।
3. यह समूह नीति विज़ार्ड^{(Group Policy Wizard)} खोलेगा । ब्राउज़^(Browse) बटन  पर क्लिक^(Click) करें, और स्थानीय कंप्यूटर के बजाय डिफ़ॉल्ट डोमेन नीति चुनें^{(Default Domain Policy)}
4. ^(Click)ओके बटन पर क्लिक करें, और फिर फिनिश^(Finish) बटन पर, और इसे बंद करें।
5. Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies चुनें  और फिर सुरक्षा विकल्प चुनें।
6. डोमेन नियंत्रक पर राइट-क्लिक करें  : LDAP सर्वर हस्ताक्षर आवश्यकताएँ^{(Domain controller: LDAP server signing requirements)} , और फिर गुण चुनें।
7. डोमेन^(Domain) नियंत्रक में  : LDAP सर्वर हस्ताक्षर आवश्यकताएँ गुण^(Properties)  संवाद बॉक्स,  इस नीति सेटिंग को  परिभाषित करें सक्षम करें, इस नीति ^(Define)को परिभाषित करें सूची में साइन इन करने की आवश्यकता का चयन करें,^{(Require signing in the Define this policy setting list,)} और फिर ठीक चुनें।
8. सेटिंग्स को दोबारा जांचें और उन्हें लागू करें।

2] स्थानीय कंप्यूटर नीति का उपयोग करके क्लाइंट एलडीएपी^(LDAP) हस्ताक्षर आवश्यकता सेट करें^(Set)

1. रन^(Run) प्रॉम्प्ट खोलें , और gpedit.msc टाइप करें, और एंटर^(Enter) कुंजी दबाएं।
2. समूह नीति संपादक में, Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies पर नेविगेट करें और फिर  सुरक्षा विकल्प चुनें।^{(Security Options.)}
3. नेटवर्क सुरक्षा^{(Network security: LDAP client signing requirements)} पर राइट-क्लिक करें : एलडीएपी क्लाइंट साइनिंग आवश्यकताएं , और फिर गुण चुनें।
4. नेटवर्क^(Network) सुरक्षा में  : LDAP क्लाइंट साइनिंग आवश्यकताएं गुण^(Properties)  संवाद बॉक्स  में, सूची में साइन^{(Require signing)} इन करने की आवश्यकता का चयन करें और फिर ठीक चुनें।
5. परिवर्तनों की पुष्टि करें और उन्हें लागू करें।

3] डोमेन समूह नीति ऑब्जेक्ट^{(Group Policy Object)} का उपयोग करके क्लाइंट एलडीएपी हस्ताक्षर आवश्यकता ^(LDAP)सेट करें^(Set)

1. Microsoft प्रबंधन कंसोल खोलें (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. फ़ाइल^(File)  >  Add/Remove Snap-in >समूह नीति ऑब्जेक्ट संपादक^{(Group Policy Object Editor)} चुनें  और फिर  जोड़ें^(Add)  चुनें  ।
3. यह समूह नीति विज़ार्ड^{(Group Policy Wizard)} खोलेगा । ब्राउज़^(Browse) बटन  पर क्लिक^(Click) करें, और स्थानीय कंप्यूटर के बजाय डिफ़ॉल्ट डोमेन नीति चुनें^{(Default Domain Policy)}
4. ^(Click)ओके बटन पर क्लिक करें, और फिर फिनिश^(Finish) बटन पर, और इसे बंद करें।
5. डिफ़ॉल्ट डोमेन नीति^{(Default Domain Policy)}  >  कंप्यूटर कॉन्फ़िगरेशन^{(Computer Configuration)}  >  विंडोज सेटिंग्स^{(Windows Settings)}  >  सुरक्षा सेटिंग्स^{(Security Settings)}  >  स्थानीय नीतियां^{(Local Policies)} चुनें  और फिर  सुरक्षा विकल्प^{(Security Options)} चुनें ।
6. नेटवर्क सुरक्षा में  : LDAP क्लाइंट साइनिंग आवश्यकताएं गुण ^{(Network security: LDAP client signing requirements Properties )} संवाद बॉक्स  में, सूची में साइन ^{(Require signing )} इन करने की आवश्यकता का चयन करें और फिर  ठीक^(OK) चुनें ।
7. परिवर्तनों की पुष्टि करें^(Confirm) और सेटिंग्स लागू करें।

4] रजिस्ट्री कुंजियों का उपयोग करके क्लाइंट LDAP हस्ताक्षर आवश्यकता सेट करें^(Set)

सबसे पहली और महत्वपूर्ण बात यह है कि आप अपनी रजिस्ट्री का बैकअप लें

• रजिस्ट्री संपादक खोलें
• HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters पर नेविगेट करें CurrentControlSet सेवाएँ <InstanceName> पैरामीटर्स
• दाएँ फलक पर राइट-क्लिक करें , और ^{(Right-click)}LDAPServerIntegrity नाम से एक नया DWORD बनाएँ^(DWORD)
• इसे इसके डिफ़ॉल्ट मान पर छोड़ दें।

<InstanceName >: AD LDS इंस्टेंस का नाम जिसे आप बदलना चाहते हैं।

5] कैसे^(How) सत्यापित करें कि कॉन्फ़िगरेशन परिवर्तन के लिए अब साइन-इन की आवश्यकता है ?

यह सुनिश्चित करने के लिए कि सुरक्षा नीति यहां काम कर रही है, इसकी अखंडता की जांच कैसे करें।

1. उस कंप्यूटर में साइन इन करें जिसमें AD DS Admin Tools स्थापित हैं।
2. रन^(Run) प्रॉम्प्ट खोलें , और ldp.exe टाइप करें, और एंटर^(Enter) कुंजी दबाएं। यह एक UI है जिसका उपयोग सक्रिय निर्देशिका^{(Active Directory)} नाम स्थान के माध्यम से नेविगेट करने के लिए किया जाता है
3. कनेक्शन > कनेक्ट चुनें.
4. सर्वर^(Server)  और  पोर्ट^(Port) में  , सर्वर का नाम और अपने निर्देशिका सर्वर का गैर-एसएसएल/टीएलएस पोर्ट टाइप करें और फिर ठीक चुनें।
5. कनेक्शन स्थापित होने के बाद, कनेक्शन > बाइंड चुनें।
6. बाइंड^(Bind) टाइप के  तहत  , सिंपल^(Simple) बाइंड चुनें।
7. उपयोगकर्ता नाम और पासवर्ड टाइप करें, और उसके बाद ठीक चुनें।

यदि आपको यह कहते हुए एक त्रुटि संदेश प्राप्त होता है कि  Ldap_simple_bind_s() विफल: मजबूत प्रमाणीकरण आवश्यक^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} है, तो आपने अपने निर्देशिका सर्वर को सफलतापूर्वक कॉन्फ़िगर कर लिया है।

6] ऐसे ग्राहकों को कैसे^(How) खोजें जो " हस्ताक्षर करने की आवश्यकता " विकल्प का उपयोग नहीं करते हैं^(Require)

हर बार जब कोई क्लाइंट मशीन असुरक्षित कनेक्शन प्रोटोकॉल का उपयोग करके सर्वर से जुड़ती है, तो यह इवेंट आईडी 2889^{(Event ID 2889)} उत्पन्न करती है । लॉग प्रविष्टि में ग्राहकों के आईपी पते भी होंगे। आपको 16  ^(16 )LDAP इंटरफ़ेस इवेंट^{(LDAP Interface Events)}  डायग्नोस्टिक सेटिंग को  2 (बेसिक)^{(2 (Basic). )} पर सेट करके इसे सक्षम करना होगा । यहां Microsoft पर AD और ^{(here at Microsoft)}LDS डायग्नोस्टिक इवेंट लॉगिंग को कॉन्फ़िगर करने का तरीका जानें ।

एलडीएपी साइनिंग^{(LDAP Signing)} महत्वपूर्ण है, और मुझे आशा है कि यह आपको स्पष्ट रूप से समझने में मदद करने में सक्षम था कि आप विंडोज सर्वर^{(Windows Server)} में और क्लाइंट मशीनों पर एलडीएपी^(LDAP) साइनिंग को कैसे सक्षम कर सकते हैं।

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• विंडोज सर्वर में रिमोट एक्सेस क्लाइंट अकाउंट लॉकआउट कॉन्फ़िगर करें

• विंडोज सर्वर से प्रशासनिक शेयरों को अक्षम करें

• Iperius बैकअप विंडोज सर्वर के लिए एक मुफ्त बैकअप सॉफ्टवेयर है

• विंडोज सर्वर में ब्लोएटेड रजिस्ट्री हाइव्स को कैसे कंप्रेस करें

• Windows सर्वर में DNS एजिंग और स्कैवेंजिंग को सक्षम और कॉन्फ़िगर कैसे करें

• विंडोज 11/10 में टाइम सर्वर कैसे जोड़ें या बदलें

• विंडोज अपडेट क्लाइंट 0x8024001f त्रुटि के साथ पता लगाने में विफल रहा

• पब्लिक डीएनएस सर्वर टूल विंडोज 10 के लिए एक फ्री डीएनएस चेंजर है

• पावरशेल स्क्रिप्ट का उपयोग करके विंडोज अपडेट क्लाइंट को रीसेट करें

• Windows 11/10 में समूह नीति क्लाइंट सेवा लॉगऑन विफल रही

• IIS कैसे स्थापित करें और XP में वेब सर्वर को कैसे कॉन्फ़िगर करें

• विंडोज मीडिया प्लेयर सर्वर निष्पादन विफल त्रुटि को ठीक करें

• विंडोज स्टोर त्रुटि को ठीक करें सर्वर लड़खड़ा गया

• Amazon S3 के लिए Windows सर्वर बैकअप को स्वचालित कैसे करें

• विंडोज 10 में धूसर होने पर DNS क्लाइंट सेवा को कैसे सक्षम करें

• विंडोज 8.1 टैबलेट या हाइब्रिड डिवाइस पर प्रॉक्सी सर्वर कैसे सेट करें

• Azure बैकअप सर्वर के साथ VMware वर्चुअल मशीन का बैकअप लें

• सर्वर से कनेक्ट करने में Omegle त्रुटि को ठीक करें (2022)

• आमंत्रण के लिए सर्वर जानकारी क्वेरी करने में असमर्थ ARK को ठीक करें

• GitAtomic विंडोज सिस्टम के लिए एक Git GUI क्लाइंट है