Sulla porta 389 girano directory LDAP come OpenLDAP, 389 Directory Server e Active Directory. Nextcloud, mail server e VPN verificano qui utenti e gruppi. Cifra con StartTLS (ldap:// più -ZZ) o usa la porta 636.
LDAP non va mai esposto su Internet. Aprilo solo ai server che devono autenticare. UDP 389 (CLDAP) è usato da AD ed è stato sfruttato per attacchi di amplificazione.
Errori tipici: Invalid credentials (49) per un bind DN sbagliato, e simple bind senza TLS rifiutati dopo l'hardening di AD (LDAP signing / channel binding).
Verifica
ldapsearch -x -H ldap://ldap.esempio.it -b "" -s base namingContexts