Puerto 636 (LDAPS): para qué sirve y cómo protegerlo
El puerto 636 TCP es el de LDAPS, LDAP cifrado con TLS desde el primer momento. Es la forma segura de que las aplicaciones consulten Active Directory u OpenLDAP para autenticar usuarios. Requiere que el servidor de directorio tenga un certificado válido.
Qué es el puerto 636
En Active Directory, LDAPS se activa automáticamente cuando el controlador de dominio tiene un certificado de servidor adecuado (por ejemplo, emitido por una CA interna con Active Directory Certificate Services).
¿Es peligroso tener abierto el puerto 636?
Riesgo medio: Solo expuesto con autenticación fuerte o limitado por IP.
- Mejor que el 389, pero tampoco debe estar abierto a Internet.
Cómo proteger el puerto 636
- Solo accesible desde los servidores de aplicación.
- Certificados válidos y renovados.
Comandos y configuración
Comprobar si el puerto 636 está abierto
sudo ss -tlnp | grep ':636 '
nc -zv 203.0.113.10 636
sudo nmap -p 636 203.0.113.10Probar LDAPS
openssl s_client -connect dc01.empresa.local:636 -showcerts </dev/nullTambién puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Herramientas para comprobarlo
Preguntas frecuentes
¿Qué hace falta para activar LDAPS en Active Directory?
Un certificado de servidor en el controlador de dominio con el nombre del equipo, normalmente emitido por la CA interna.