TCP/UDPRiesgo alto si se expone
Puerto 389 (LDAP): para qué sirve y cómo protegerlo
El puerto 389 es el de LDAP, el protocolo para consultar directorios de usuarios y equipos como Active Directory u OpenLDAP. Sin cifrar, las credenciales pueden viajar en claro; se protege con STARTTLS en el mismo puerto o con LDAPS en el 636. No debe exponerse a Internet.
Qué es el puerto 389
Aplicaciones como Nextcloud, GitLab o Jenkins usan LDAP para que los usuarios entren con su cuenta corporativa. El servidor de la aplicación consulta el directorio por el 389 o el 636.
¿Es peligroso tener abierto el puerto 389?
Riesgo alto: No debe estar abierto a Internet.
- Enumeración de usuarios y grupos.
- Amplificación DDoS por CLDAP (UDP 389).
Cómo proteger el puerto 389
- Usa LDAPS (636) o STARTTLS.
- Exige firma LDAP en Active Directory.
- Restringe el acceso a los servidores que lo necesitan.
Comandos y configuración
Comprobar si el puerto 389 está abierto
bash
sudo ss -tlnp | grep ':389 '
nc -zv 203.0.113.10 389
sudo nmap -p 389 203.0.113.10Búsqueda de prueba
bash
ldapsearch -x -H ldap://dc01.empresa.local -b "dc=empresa,dc=local" -D "cn=lector,dc=empresa,dc=local" -W "(uid=ana)"También puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿LDAP o LDAPS?
LDAPS (636) o LDAP con STARTTLS. LDAP sin cifrar solo en pruebas.