LDAP暴露面收敛应保留哪些业务路径?

域控补丁一出，很多团队的第一反应是赶紧推更新，但真正让运维头疼的问题往往在补丁之后：防火墙一收紧，业务部门立刻找上门来，说某个系统登不上了。LDAP 暴露面收敛这件事，难点不在“要不要收”，而在“收到哪里为止”。收得太狠，认证链路断掉；收得不动，风险又摆在那儿。

咱们先把 LDAP 端口上跑的东西分个类。域控上的目录查询、认证、全局编录，对应的是不同端口，不同业务用的也不是同一条路径。有的应用服务器要直连做账号绑定，有的运维跳板机要做目录查询，还有一些后台系统只做组同步。这些是真实存在的业务路径，收敛时不能一刀切。反过来，办公网全段可以访问目录服务、测试域控还挂在生产网段、云上安全组沿用“域内互通”的老规则，这些属于该收的暴露面。

判断标准其实不复杂：这条访问路径，能不能说清楚是谁在用、从哪来、为什么必须直连。说不清的，优先收；说得清但可以改成走跳板机或中间层的，次优先收；确实只有少数应用服务器和受信管理网段需要的，保留并登记。收敛的目标不是把端口封死，而是把“任何能路由到域控的主机都能发起目录查询”变成“只有登记过的路径可以”。

有一个容易被忽略的点：收敛规则本身要写进变更单，注明临时性、到期时间和恢复条件。应急期间加的规则，事后没人记得撤，过几个月就变成了新的历史包袱。同样，补丁没覆盖全部域控之前，收敛是临时手段；补丁铺完之后，规则该复核一遍，该保留的转成正式策略，该撤销的及时撤掉。

还有只读域控和边缘站点域控，别因为“它不承载写操作”就跳过。它同样跑 LDAP 服务，也同样在暴露面上。资产清单里漏掉一台，收敛就漏掉一个口子。

说到底，保留哪些业务路径，取决于资产边界清不清楚。角色、网络、补丁三条线对不上的地方，就是收敛前该先弄明白的地方。路径清单和资产清单对得上，收敛才有底气，业务那边也才说得通。