IMC+LADP+MS-CHAPv2

1、问题深信服技术支持
2、imc只“关心”ldap服务器地址、端口号、upn账号和密码和权限

负载均衡仅需发布 LDAP 389 虚拟服务，不用创建 445 端口映射，445 和 MS-CHAPv2 认证无任何关系；
LDAP 页面检测功能仅验证基础连通性，不校验 MS-CHAPv2 密码质询逻辑，检测成功不代表 802.1X 认证一定可用；
更换 AD 访问 VIP 后，务必做 LDAP 账号同步 + 终端实际 802.1X 压测验证，不能仅依赖页面检测结果。

针对你的两个问题，结论如下：

1. 负载均衡只需配置LDAP的基础端口（UDP 389或TCP 636），无需为MS-CHAPv2单独创建TCP 445端口的虚拟服务。

2. iMC的“检测”功能仅验证LDAP的基础连接是否成功，不会校验MS-CHAPv2相关的任何配置或端口连通性。

下面为你详细解释原因。

问题一：MS-CHAPv2与端口445的关系

MS-CHAPv2认证本身没有独立的端口。它依赖微软Active Directory（AD）的SMB（Server Message Block）协议来完成认证。

• 认证流程：当iMC EIA需要进行MS-CHAPv2认证时，其mschapv2server.exe进程会通过SMB协议与AD域控通信。

• 使用的端口：这个SMB通信默认使用TCP 445端口。

因此：你的负载均衡设备只需为LDAP服务本身（UDP 389或LDAPS的TCP 636）配置虚拟服务。iMC通过LDAP查询到用户信息后，会直接使用mschapv2server进程通过TCP 445端口与后端的真实AD服务器通信，这个过程不经过负载均衡的LDAP虚拟服务。

问题二：iMC“检测”功能的作用范围

iMC LDAP服务器配置页面的“检测”按钮，其功能范围非常有限。

• 检测内容：它仅验证iMC服务器与LDAP服务器之间的基础LADP连接是否正常。

• 具体步骤：使用你配置的管理员DN和密码，尝试与LDAP服务器（IP和端口）建立连接并进行绑定。

• 成功条件：只要管理员账号密码正确，LDAP服务端口可达，绑定成功，检测就会显示“成功”。

所以：即使负载均衡没有配置TCP 445的转发，只要UDP 389的LDAP虚拟服务是通的，iMC的“检测”功能就会显示正常。检测成功绝不代表MS-CHAPv2认证能正常工作。

潜在风险与排查建议

将LDAP服务器地址改为负载均衡的虚拟IP后，真正的风险点在于iMC与AD域控之间TCP 445端口的通信。

1. 网络连通性：确保iMC服务器能通过TCP 445端口直接访问到后端的真实AD服务器IP。

2. 防火墙策略：检查iMC与AD域控之间的防火墙，确认TCP 445端口已放行。

3. AD域控配置：

   • 确认AD域控上的SMB协议（尤其是SMB2）已启用。

   • 如果使用Windows自带客户端进行认证，还需在AD域控上配置虚拟计算机。

4. iMC侧配置：确保iMC中配置的“基于LDAP的用户认证”方式正确选择了“MS-CHAPv2认证”。