我有 2 个域，每个域有 2 个域控制器：
- 公司.本地
- 广告公司.com.au
两个域都位于同一个林中，并且具有双向信任设置。我们ad.company.com.au目前正在迁移到，但是需要查询 LDAP 的系统存在一些问题。
当对任一域控制器进行 LDAP 搜索时，ad.company.com.au我们得到一个company.com.au不受 AD 控制的引用：
$ ldapsearch -x -h 172.xx.xx.11 -b DC=company,DC=com,DC=au -D "[email protected]" -W
Enter LDAP Password:
# extended LDIF
#
# LDAPv3
# base <DC=company,DC=com,DC=au> with scope subtree
# filter: (objectclass=*)
# requesting: ALL
# with manageDSAit control
#
# search result
search: 2
result: 10 Referral
text: 0000202B: RefErr: DSID-031007EF, data 0, 1 access points
ref 1: 'company.
com.au'
ref: ldap://company.com.au/DC=company,DC=com,DC=au
# numResponses: 1
company.com.au请注意AD 无法控制的引用点- 域是ad.company.com.au并且由名称服务器委托company.com.au给 2 个 DC。
在同一台服务器上查询全局目录会给我们预期的结果。
那么为什么域的域控制器不知道其 LDAP 中的域，而 GC 却知道呢？
答案1
因为您指定 company.com.au 作为搜索基础。如果您想查询域本地分区而不获取引荐，请使用 ad.company.com.au 作为搜索基础。