Mit ldp.exe können Administratoren:

• Verbindungen zu Domain Controllern herstellen (LDAP oder LDAPS), LDAP-Pfade überprüfen
• Authentifizierte Binds durchführen
• Verzeichnisobjekte durchsuchen, filtern, ändern oder löschen, Filter vor dem Einsatz testen
• Attributwerte von Objekten anzeigen oder bearbeiten
• Diagnose- und Troubleshooting-Aufgaben erledigen (z. B. Replikation, Berechtigungen, Deleted Objects)

Damit eignet es sich besonders für Fehleranalyse, Tests und forensische Aufgaben in Active-Directory-Umgebungen. Es kann bspw. bei Microsoft hier heruntergeladen werden.

Einsatz von ldp.exe

LDP einrichten und mit Nutzerdaten verbinden

1. Menüleiste: Connection → Connect
2. Gib den Domain-Controller-Namen ein.
   • Bei LDAPS: SSL aktivieren
3. Bestätigen mit OK.
4. Optional:
   • Menüleiste: Connection → Bind
   • Typ Bind with credentials auswählen
   • Benutzername, Passwort und Domain eingeben (muss die Rechte haben)
   • Bestätigen mit OK.

Active Directory-Struktur durchsuchen

1. Menüleiste: View → Tree
2. Distinguished Name angeben und bestätigen mit OK.
3. Links im Baum kann man jetzt Container (CN) und Organisationseinheiten (OU) aufklappen

Suchen mit Filtern

1. Options → Search → Display Results deaktivieren → OK
2. Browser → Search
3. Base DN: z. B. DC=beispiel,DC=local
4. Run klicken → Die Anzahl der gefundenen Objekte wird angezeigt.

Quellen

• Verwenden von ldp.exe zum Suchen von LDAP-Servern – Cisco
• How to use LDP.EXE to check connectivity and access to AD
• Analysis with LDP tool | ManageEngine Endpoint Central

Der Beitrag LDAP/AD-Fehleranalyse mit ldp.exe erschien zuerst auf Maximilian Krieg.

Es dient dazu, den Gesundheitszustand einer Windows-PKI zu überprüfen und Probleme wie abgelaufene Zertifikate, CRL-Veröffentlichungsfehler oder OCSP-Fehler schnell zu identifizieren.

Einsatz von pkiview und Alternativen

Wichtige Funktionen von pkiview.msc:

• CA-Status prüfen: Zeigt alle Zertifizierungsstellen in der Forest-Hierarchie an (Root-, Intermediate-, Issuing-CAs) und ihren Status.
• Zertifikatketten validieren: Überprüft, ob CA-Zertifikate gültig sind und ob CRLs/OCSP verfügbar sind.
• CRL (Certificate Revocation List) Monitoring: Zeigt an, ob CRLs korrekt veröffentlicht wurden und ob sie bald ablaufen.
• AIA & CDP Distribution Point Checks: Prüft die Erreichbarkeit von CRL- und AIA-Pfaden (HTTP, LDAP, File).
• Alarm bei Problemen: Markiert fehlerhafte Stellen mit Warnsymbolen (gelb/rot).

Direkt über „Ausführen“ oder PowerShell starten:

pkiview.msc

Wichtige Befehle / Alternativen in PowerShell:

#Alle Enterprise CAs im Forest anzeigen
Get-ADObject -LDAPFilter "(objectClass=pKIEnrollmentService)" -SearchBase "CN=Configuration,DC=deinforest,DC=local"

#CA Zertifikate abrufen
certutil -viewstore CA

#CRL prüfen (lokale CRL)
certutil -dump "PfadZurCRL.crl"

#Zertifikatketten überprüfen
certutil -verify "PfadZuZertifikat.cer"

#OCSP Responder prüfen
certutil -urlfetch -verify "PfadZuZertifikat.cer"

Typische Fehler, die pkiview.msc anzeigt:

Der Beitrag Windows PKI-Fehleranalyse mit pkiview.msc erschien zuerst auf Maximilian Krieg.

Zuerst exportieren wir die Konfiguration des Network Policy Servers (NPS), auch als „Netzwerkrichtlinienserver“ bekannt. Dazu öffnen wir die NPS-Rolle auf dem Windows Server. Mit einem Rechtsklick auf den NPS rufen wir das Kontextmenü auf und wählen dann die Option Export Configuration.

Anschließend bestätigen wir die folgende Warnmeldung. Der NPS weist darauf hin, dass die Konfigurationsdaten im Klartext exportiert werden, was sicherheitsrelevant ist. Daher sollten wir unbedingt sicherstellen, dass die resultierende Datei nach Abschluss aller Arbeiten wieder gelöscht wird, um sensible Informationen zu schützen.

Die exportierte Konfiguration liegt im XML-Format vor. Sie kann nun mit einem beliebigen Texteditor oder einer XML-fähigen Anwendung wie dem Edge-Browser geöffnet werden, der die Datei entsprechend ihrer Struktur anzeigt. In dieser Darstellung finden wir die RADIUS-Clients in der folgenden Datenstruktur.

<Root>
  <Children>
    <Microsoft_Internet_Authentication_Service>
      <Children>
        <Protocols>
          <Children>
            <Microsoft_Radius_Protocol>
              <Children>
                <Clients>
                  <CLIENT-A>

Die Client-Informationen umfassen den Namen, die IP-Adresse, den Status sowie das benötigte Secret, das im Attribut Shared_Secret hinterlegt ist. Das Passwort wird im Klartext angezeigt und kann daher direkt für die Konfiguration weiterverwendet werden. In diesem Beispiel ist der RADIUS-Client unter dem Namen CLIENT-A eingetragen, was sich in der XML-Struktur unter einem gleichnamigen Eintrag in den Clients widerspiegelt. Das zugehörige Secret ist im Shared_Secret-Attribut gespeichert und lautet in diesem Fall MYS3CR3T.

<CLIENT-A name="CLIENT-A">
<Properties>
<Shared_Secret xmlns:dt="urn:schemas-microsoft-com:datatypes" dt:dt="string">MYS3CR3T</Shared_Secret>
</Properties>
</CLIENT-A>

Der Beitrag Pre-shared key für RADIUS-Client aus Windows Network Policy Server extrahieren erschien zuerst auf Maximilian Krieg.

Symptom

Eine Anwendung verlangt einen Microsoft SQL Servers und bietet ggf. sogar an diesen selbst zu installieren. Nach Abschluss der Installation und Konfiguration kann die Anwendung aber keine Verbindung herstellen. Beide Systeme befinden sich im gleichen Netz und die Zugriffsberechtigungen sind gesetzt. Dennoch erscheint folgende Fehlermeldung.

Setup is unable to connect to SQL Server with the connection information provided.

Installiert man die Anwendung nun lokal auf dem SQL Server, dann funktioniert es tadellos.

Problem

Sollte es nicht an grundlegenden Netzwerkproblemen oder der Windows-Firewall liegen, kann es vorkommen, dass für die Instanz des SQL Servers keine eingehenden TCP/IP-Verbindungen freigegeben sind. Dies lässt sich prüfen indem der SQL Server Configuration Manager aufgerufen wird.

Wie man sieht, sind die Verbindungen deaktiviert und verhindern den Zugriff von entfernten Systemen.

Lösungstrategie

Wir aktivieren die folgenden Parameter.

Der Beitrag Zum Microsoft SQL-Server kann keine Verbindung hergestellt werden erschien zuerst auf Maximilian Krieg.