Ubuntu 20.04配置nss_ldap客户端功能正常但持续出现LDAP绑定失败报错

我完全理解你的困扰——明明LDAP用户能正常登录客户端，ldapsearch测试也能连通服务器，但systemd-logind的日志里却反复刷着绑定失败的报错，看着确实闹心。咱们从几个常见的原因入手排查，一步步解决这个问题：

1. 优先排查systemd-logind的启动时机问题 #

Ubuntu 20.04的systemd-logind可能在网络完全就绪前就启动了，导致它第一次尝试连接LDAP服务器时失败，后续虽然会重试，但日志里还是会留下报错记录。

解决方法：

• 创建systemd-logind的配置覆盖文件（如果目录不存在就先创建）：

  sudo mkdir -p /etc/systemd/system/systemd-logind.service.d
  sudo nano /etc/systemd/system/systemd-logind.service.d/override.conf
  

• 在文件中添加以下内容，让logind等待网络完全在线后再启动：

  [Unit]
  After=network-online.target
  Wants=network-online.target
  

• 重载systemd配置并重启logind服务：

  sudo systemctl daemon-reload
  sudo systemctl restart systemd-logind
  

2. 优化nss_ldap的重试与超时配置 #

默认的nss_ldap连接参数可能过于严苛，导致短暂的网络波动就触发报错。可以在/etc/ldap.conf中添加以下参数，提升连接的稳定性：

# 绑定超时时间（秒）
bind_timelimit 30
# 重新绑定超时时间（秒）
rebind_timelimit 30
# 重试次数
nss_reconnect_tries 5
# 初始重试间隔（秒）
nss_reconnect_sleeptime 1
# 最大重试间隔（秒）
nss_reconnect_maxsleeptime 5
# 最大连接尝试次数
nss_reconnect_maxconntries 3

添加后保存文件，无需重启服务，后续生效时会自动读取新配置。

3. 检查LDAP绑定用户的权限与配置细节 #

虽然你用的是cn=admin这个超级用户，但有时候用权限更受限的专用查询用户反而更稳定（也更安全）：

• 在LDAP服务器上创建一个只读用户，比如cn=nss-reader,dc=example,dc=com，只赋予它读取用户、组条目的权限。
• 修改/etc/ldap.conf中的rootbinddn为这个新用户的DN，同时更新/etc/ldap.secret为对应的密码。
• 确保/etc/ldap.secret的权限严格为600（你已经提到了，但再确认下）：

  sudo chmod 600 /etc/ldap.secret
  sudo chown root:root /etc/ldap.secret
  

4. 验证配置是否生效 #

做完以上调整后，你可以重启客户端，然后实时查看日志：

journalctl -u systemd-logind -f

如果报错不再出现，就说明问题解决了；如果还有，你可以尝试重启nss相关服务（或者直接重启系统），让所有配置完全生效。

需要说明的是：如果LDAP用户登录、权限控制等核心功能都正常，这些日志报错其实不会影响系统使用，但解决后能让日志更干净，也避免潜在的连接稳定性问题。

备注：内容来源于stack exchange，提问作者Khloud Mostafa