LDAPS

Last published : Nov 13, 2026
LDAPS es la versión segura del Protocolo ligero de acceso a directorios (LDAP), donde las comunicaciones LDAP se cifran mediante TLS/SSL.
De forma predeterminada, las comunicaciones LDAP entre las aplicaciones cliente y servidor no están cifradas. LDAPS le permite proteger el contenido de las consultas LDAP entre el Linux VDA y los servidores LDAP.
Los siguientes componentes de Linux VDA dependen de LDAPS:
  • Agente de intermediación: Registro de Linux VDA con un Delivery Controller™
  • Servicio de directivas: Evaluación de directivas
La configuración de LDAPS implica:
  • Habilitar LDAPS en el servidor de Active Directory (AD)/LDAP
  • Exportar la CA raíz para uso del cliente
  • Habilitar/inhabilitar LDAPS en el Linux VDA
  • Configurar LDAPS para plataformas de terceros
  • Configurar SSSD
  • Configurar Winbind
  • Configurar Centrify
  • Configurar Quest
Nota:
Puede ejecutar el siguiente comando para establecer un ciclo de supervisión para sus servidores LDAP. El valor predeterminado es de 15 minutos. Establézcalo en 10 minutos como mínimo.
/opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -v "ListOfLDAPServersMonitorPeroid" -t "REG_DWORD" -d "0x0000000f" --force
Related information
Otros

Habilitar LDAPS en el servidor AD/LDAP

Puede habilitar LDAP a través de SSL (LDAPS) instalando un certificado con el formato adecuado de una entidad de certificación (CA) de Microsoft o de una CA que no sea de Microsoft.
Sugerencia:
LDAPS se habilita automáticamente al instalar una CA raíz empresarial en un controlador de dominio.
Para obtener más información sobre cómo instalar el certificado y verificar la conexión LDAPS, consulte Cómo habilitar LDAP a través de SSL con una entidad de certificación de terceros.
Cuando tiene una jerarquía de entidad de certificación de varios niveles, no tiene automáticamente el certificado adecuado para la autenticación LDAPS en el controlador de dominio.
Para obtener información sobre cómo habilitar LDAPS para controladores de dominio mediante una jerarquía de entidad de certificación de varios niveles, consulte el artículo Certificado LDAP a través de SSL (LDAPS).

Habilitar la entidad de certificación raíz para uso del cliente

El cliente debe usar un certificado de una CA en la que confíe el servidor LDAP. Para habilitar la autenticación LDAPS para el cliente, importe el certificado de CA raíz a un almacén de claves de confianza.
Para obtener más información sobre cómo exportar la CA raíz, consulte Cómo exportar el certificado de la entidad de certificación raíz en el sitio web de soporte técnico de Microsoft.

Habilitar o inhabilitar LDAPS en el VDA de Linux

Para habilitar o inhabilitar LDAPS en el VDA de Linux, ejecute el script enable\_ldaps.sh (mientras haya iniciado sesión como administrador). Para ejecutar el script enable\_ldaps.sh en modo no interactivo, exporte las siguientes variables a su entorno:
#CTX_LDAPS_KEYSTORE_PASSWORD=

#CTX_LDAPS_LDAP_SERVERS=
  • Para habilitar LDAP a través de SSL/TLS con el certificado de CA raíz proporcionado:
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enable pathToRootCA
  • Para habilitar LDAP a través de SSL/TLS con enlace de canal:
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Enablecb pathToRootCA
    Nota:
    El certificado de CA raíz para el enlace de canal debe estar en formato PEM. Si la habilitación de LDAPS no crea un entorno virtual de Python3 correctamente, créelo manualmente siguiendo las instrucciones en Crear un entorno virtual de Python3.
    Para solucionar los errores de conexión SSL que pueda encontrar al usar la herramienta pip, considere agregar los siguientes hosts de confianza al archivo /etc/pip.conf:
    \> [global]
    trusted-host =
    \> pypi.org
    files.pythonhosted.org
  • Para volver a LDAP sin SSL/TLS
    /opt/Citrix/VDA/sbin/enable_ldaps.sh -Disable
El almacén de claves de Java dedicado para LDAPS reside en /etc/xdl/.keystore. Las claves de registro afectadas incluyen:
HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServers

HKLM\Software\Citrix\VirtualDesktopAgent\ListOfLDAPServersForPolicy

HKLM\Software\Citrix\VirtualDesktopAgent\UseLDAPS

HKLM\Software\Policies\Citrix\VirtualDesktopAgent\Keystore

HKLM\Software\Citrix\VirtualDesktopAgent\EnableChannelBinding

Configurar LDAPS para plataformas de terceros

Además de los componentes de Linux VDA, varios componentes de software de terceros que se adhieren al VDA también pueden requerir LDAP seguro, como SSSD, Winbind, Centrify y Quest. Las siguientes secciones describen cómo configurar LDAP seguro con LDAPS, STARTTLS o SASL sign and seal.
Sugerencia:
No todos estos componentes de software prefieren usar el puerto SSL 636 para garantizar un LDAP seguro. Y la mayoría de las veces, LDAPS (LDAP sobre SSL en el puerto 636) no puede coexistir con STARTTLS en el puerto 389.

SSSD

Configure el tráfico LDAP seguro de SSSD en el puerto 636 o en el puerto 389 según las opciones. Para obtener más información, consulte la página man de SSSD LDAP para Linux.

Winbind

La consulta LDAP de Winbind utiliza el método ADS. Winbind solo admite el método StartTLS en el puerto 389. Los archivos de configuración afectados son /etc/samba/smb.conf y /etc/openldap/ldap.conf (para Amazon Linux 2, RHEL, Rocky Linux, CentOS y SUSE) o /etc/ldap/ldap.conf (para Debian y Ubuntu). Modifique los archivos de la siguiente manera:
  • smb.conf
    ldap ssl = start tls
    ldap ssl ads = yes client ldap sasl wrapping = plain
  • ldap.conf
    TLS_REQCERT never
Alternativamente, puede configurar LDAP seguro mediante SASL GSSAPI sign and seal, pero no puede coexistir con TLS/SSL. Para usar el cifrado SASL, cambie la configuración de smb.conf:
ldap ssl = off
ldap ssl ads = no client ldap sasl wrapping = seal

Centrify

Centrify no admite LDAPS en el puerto 636. Sin embargo, proporciona cifrado seguro en el puerto 389. Para obtener más información, consulte el sitio de Centrify.

Quest

Quest Authentication Service no es compatible con LDAPS en el puerto 636, pero proporciona cifrado seguro en el puerto 389 mediante un método diferente.

Solución de problemas

Los siguientes problemas pueden surgir al utilizar esta función:
  • Disponibilidad del servicio LDAPS
    verificar que la conexión LDAPS está disponible en el servidor AD/LDAP. El puerto es el 636 de forma predeterminada.
  • Error en el registro de Linux VDA cuando LDAPS está habilitado
    verificar que el servidor LDAP y los puertos están configurados correctamente. Compruebe primero el certificado de CA raíz y asegúrese de que coincide con el servidor AD/LDAP.
  • Cambio de registro incorrecto por accidente
    Si actualizó las claves relacionadas con LDAPS por accidente sin usar enable\_ldaps.sh, podría romper la dependencia de los componentes de LDAPS.
  • El tráfico LDAP no está cifrado a través de SSL/TLS desde Wireshark o cualquier otra herramienta de supervisión de red
    De forma predeterminada, LDAPS está deshabilitado. Ejecute /opt/Citrix/VDA/sbin/enable\_ldaps.sh para forzarlo.
  • No hay tráfico LDAPS desde Wireshark o cualquier otra herramienta de supervisión de red
    El tráfico LDAP/LDAPS se produce cuando se registran los VDA de Linux y se evalúan las directivas de grupo.
  • No se pudo verificar la disponibilidad de LDAPS ejecutando la conexión ldp en el servidor AD
    Utilice el FQDN de AD en lugar de la dirección IP.
  • Error al importar el certificado de CA raíz ejecutando el script /opt/Citrix/VDA/sbin/enable\_ldaps.sh
    Proporcione la ruta completa del certificado de CA y verificar que el certificado de CA raíz es del tipo correcto. Se supone que es compatible con la mayoría de los tipos de Java Keytool admitidos. Si no aparece en la lista de soporte, puede convertir el tipo primero. Recomendamos el formato PEM codificado en base64 si encuentra un problema de formato de certificado.
  • Error al mostrar el certificado de CA raíz con Keytool -list
    Cuando habilita LDAPS ejecutando /opt/Citrix/VDA/sbin/enable_ldaps.sh, el certificado se importa a /etc/xdl/.keystore y se establece la contraseña para proteger el almacén de claves. Si olvida la contraseña, puede volver a ejecutar el script para crear un almacén de claves.