LDAP服务器突然无法连接，故障表现形式很多。有时候所有用户都无法登录系统，部分场景下应用弹出“Can‘t contact LDAP server”提示，还有的日志没有明显报错，只是身份验证一直失败。排查工作有固定顺序，从底层网络逐层向上定位，比零散试错效率高很多。
**先看网络通不通，这是最底层的问题**
LDAP默认使用TCP 389端口，加密版本LDAPS使用636端口。先用ping测试服务器域名解析和连通性，再检测端口连通，`telnet ldap.example.com 389`或者`nc -zv ldap.example.com 389`，出现超时基本就是网络层面故障。
防火墙是最常见的阻碍。云服务器需要检查安全组规则，本地服务器查看iptables或者firewalld。Windows域环境中，域控防火墙经常放行389端口，却没有开放636，出现普通LDAP正常、LDAPS无法连接的情况，这种半通状态很容易误导排查方向。另外留意LDAP服务是否只绑定127.0.0.1地址，外部连接无法抵达，执行`netstat -tulnp | grep 389`确认监听地址是否为0.0.0.0。
DNS解析也需要单独核查。使用域名连接时，执行`nslookup ldap.example.com`核对解析IP是否正确。域环境还要确认SRV记录`_ldap._tcp.domain.com`正常注册，域控发现机制依赖这条记录。
**网络通了，接着看 LDAP 服务本身是不是活着**
登录LDAP服务器，OpenLDAP用`systemctl status slapd`查看服务状态，Windows AD域控查看“Active Directory Domain Services”服务运行状态。
服务启动失败时，日志一般会记录原因。OpenLDAP日志存放于`/var/log/syslog`，也可以用`journalctl -u slapd -f`实时查看。常见故障包含配置文件书写错误、数据库文件权限异常、SELinux或AppArmor阻止进程访问目录。Windows域控在事件查看器的Directory Service日志记录LDAP启动故障，1216、1317这类事件ID值得重点查看。
**服务活着但连不上，查客户端配置**
客户端侧高频故障点有几个。服务器地址填写错误，看着简单但经常出现，尤其是IP和域名混用场景。协议类型不匹配，服务端启用LDAPS，客户端使用`ldap://`连接，或是反过来，都会连接失败。Base DN拼写错误，`dc=example,dc=com`误写成`dc=exmaple,dc=com`，这类拼写错误肉眼很难发现，但是绑定认证直接失败。绑定DN格式也有讲究，Windows AD环境使用UPN格式`user@domain.com`往往比DN格式稳定，SAMAccountName格式`DOMAINuser`在LDAPS场景下有可能认证失败。
`ldapsearch`是校验客户端配置的便捷工具，一条命令就能验证连接与认证：`ldapsearch -x -H ldap://hostname:389 -b “dc=example,dc=com” -D “cn=admin,dc=example,dc=com” -w “password” -s sub`。这条命令正常返回数据，说明服务端和客户端基础配置没问题，故障出在上层应用；命令报错，返回信息会指明故障环节。
**认证问题是另一个高频故障点**
最常见报错是“Invalid credentials (49)”，附带对应数据码。`data 52e`代表用户名正确但密码错误，`data 525`表示用户账号不存在。很多人看到密码错误提示，第一反应是密码输入出错，确认密码无误之后，就要检查绑定账号是否锁定、密码是否过期，AD环境还要确认密码哈希是否同步。容易忽略的一点，LDAP绑定账号密码近期修改，但是配置文件依旧保存旧密码，无论重试多少次都会返回49报错。
**LDAPS 相关的故障单独说**
使用LDAPS（636端口），证书是首要检查项。服务端证书CN或者SAN字段，必须包含客户端连接使用的主机名，客户端侧证书链需要有效。如果证书SAN填写`myldapserver.contoso.com`，但客户端连接地址是`ldap.contoso.com`，TLS握手会因为名称不匹配中断，事件日志出现ID36884，提示证书名称不符。解决方案要么给证书补充对应的SAN，要么在客户端注册表添加`UseHostnameAsAlias`参数忽略名称校验。
证书过期也是常见故障，`openssl s_client -connect ldap.example.com:636`可以快速查看证书有效期和SAN信息。客户端提示“unknown CA”，代表根证书没有导入客户端信任库，导入CA证书即可解决。
**几个排查时好用的工具**
前面提到的`ldapsearch`，直接验证连接和认证。`ldp.exe`是Windows域控自带图形化LDAP客户端，连接后可以浏览目录树，手动执行绑定测试，比命令行直观。`openssl s_client`检查LDAPS证书和TLS握手。`tcpdump`用于网络抓包，怀疑流量无法抵达服务器，执行`tcpdump -i eth0 -n host
and port 389`，查看SYN包是否发出、有没有收到应答。
**日志这块别偷懒**
OpenLDAP调高日志级别，可以看到详细的绑定与检索流程。Windows域控事件查看器中，Directory Service日志记录LDAP连接和认证事件，Application日志可能记录应用侧报错。排查时对照两边日志，很多问题线索直接记录在日志内。
完整走完这套流程，大部分LDAP无法访问故障都可以定位到具体层级。从网络、服务、配置到认证逐层排查，不要跳过步骤，比凭感觉修改参数靠谱。
免责声明：本文提供的方法与建议仅供技术参考，实际部署效果受机房环境、运营商线路、系统配置等多重因素影响。请在专业人员指导下操作，因自行操作导致的业务损失本站不承担责任。
