PrimaryContext LDAPS 自签名证书

我们有一个应用程序，使用 LDAP、通过 IP 地址、通过 VPN 隧道对远程 AD 进行身份验证，使用以下代码：

using (PrincipalContext pc = new PrincipalContext(ContextType.Domain, ldap.Host, ldap.Path.Replace("/", ""), ContextOptions.Negotiate, UserName, Password))
{
    using (UserPrincipal user = UserPrincipal.FindByIdentity(pc, domainAndUsername))
    {
        if (user != null)
        {
            SAMAccountName = user.SamAccountName;
            retVal = true;
        }
    }
}

这对于普通的非 SSL LDAP 非常有效。但是，我们遇到过需要通过 SSL 连接到 LDAPS 的情况，但它不起作用。我已经在 PrimaryContext 构造函数上尝试了很多变体，但我们所做的一切都会导致连接失败，并出现以下错误：

System.DirectoryServices.AccountManagement.PrincipalServerDownException: The server could not be contacted. ---> System.DirectoryServices.Protocols.LdapException: The LDAP server is unavailable.
   at System.DirectoryServices.Protocols.LdapConnection.Connect()
   at System.DirectoryServices.Protocols.LdapConnection.SendRequestHelper(DirectoryRequest request, Int32& messageID)
   at System.DirectoryServices.Protocols.LdapConnection.SendRequest(DirectoryRequest request, TimeSpan requestTimeout)
   at System.DirectoryServices.AccountManagement.PrincipalContext.ReadServerConfig(String serverName, ServerProperties& properties)
   --- End of inner exception stack trace ---
   at System.DirectoryServices.AccountManagement.PrincipalContext.ReadServerConfig(String serverName, ServerProperties& properties)
   at System.DirectoryServices.AccountManagement.PrincipalContext.DoServerVerifyAndPropRetrieval()
   at System.DirectoryServices.AccountManagement.PrincipalContext..ctor(ContextType contextType, String name, String container, ContextOptions options, String userName, String password)

我们知道这不是 LDAP 服务器本身，正如所讨论的方法所尝试的那样here https://stackoverflow.com/a/10853221/1048068连接没有错误。我不太习惯使用 try...catch 进行逻辑流，并且我已经阅读了此方法的一些其他问题（例如没有正确尊重证书等），因此我尝试使用 PrimaryContext 来实现此操作。

有人可以在这里给我一些指导吗？我对这个快要疯了。

EDIT:经过进一步研究，这似乎可能是自签名证书的问题。

EDIT 2:将其分解为 X509 链调用后，我收到以下特定错误：

PartialChain 无法为受信任的根颁发机构构建证书链。

看到这一点，您可能会认为只需将 CA 添加为受信任的根即可，但这似乎并不能解决问题。

我想知道这是否代码项目文章 https://www.codeproject.com/Articles/19097/eDirectory-Authentication-using-LdapConnection-and可能有帮助：

“最近，我在使用 System.DirectoryServices.DirectoryEntry 连接到 Novell eDirectory 服务器时遇到了麻烦，因为证书是自签名的。在 ASP.NET 应用程序中运行时，不会检查计算机级证书存储。因此，即使尽管自签名证书位于受信任存储中，DirectoryEntry 仍然拒绝建立连接。

对于这种情况，LdapConnection 类是更好的选择，因为它允许用户手动验证证书。请注意，当在 Windows 窗体应用程序中运行时，DirectoryEntry 方法可以与受信任的自签名证书一起正常工作。”

通过 LdapConnection，您可以使用自己的证书身份验证，如下所示：

LdapConnection con = new LdapConnection(new LdapDirectoryIdentifier("EDIRECTORYSERVER:636"));
con.SessionOptions.SecureSocketLayer = true;
con.SessionOptions.VerifyServerCertificate = 
   new VerifyServerCertificateCallback(ServerCallback);
con.Credential = new NetworkCredential(String.Empty, String.Empty);
con.AuthType = AuthType.Basic;

和这样的验证回调：

public static bool ServerCallback(LdapConnection connection, X509Certificate certificate)
{
  try
  {
    X509Certificate expectedCert = 
         X509Certificate.CreateFromCertFile("C:\\certificates\\certificate.cer");

    if (expectedCert.Equals(certificate))
    {
        return true;
    }
    else
    {
        return false;
    }
  }
  catch (Exception ex)
  {
      return false;
  }
}