FreeRADIUS配置LDAP时base_dn为空问题求助

针对你遇到的FreeRADIUS未使用配置的LDAP base_dn导致搜索失败的问题，可按以下步骤排查解决：

• 确认配置文件生效性

  1. 检查mods-enabled/ldap是否为mods-available/ldap的软链接，FreeRADIUS仅加载mods-enabled目录下的软链接配置文件，手动复制文件会导致配置不生效。
  2. 执行radiusd -XC命令校验配置语法，查看是否存在base_dn行的拼写错误、引号不匹配或多余空格等问题。

• 检查LDAP模块搜索逻辑

  1. 确认mods-enabled/ldap中的filter参数配置正确，AD环境下推荐使用：(&(objectClass=user)(sAMAccountName=%{%{Stripped-User-Name}:-%{User-Name}}))，确保filter是基于base_dn的相对搜索，而非包含完整DN的绝对搜索。
  2. 检查sites-enabled/default或sites-enabled/inner-tunnel配置，确认是否在LDAP模块调用时重新定义了base_dn参数，覆盖了mods-enabled中的配置。

• 验证AD端权限与连通性
  使用ldapsearch工具直接测试LDAP搜索，排除AD端问题：

  ldapsearch -x -H ldap://ad.examplename.com -b "DC=ad,DC=examplename,DC=com" -D "CN=你的绑定账号,OU=服务账号,DC=ad,DC=examplename,DC=com" -W "(sAMAccountName=测试用户名)"
  

  若搜索失败，需检查绑定账号的权限、AD服务器地址及端口的连通性。

• 核对FreeRADIUS调试日志细节
  重新运行radiusd -X启动调试，查找LDAP模块初始化日志，确认是否有类似ldap: base_dn = "DC=ad,DC=examplename,DC=com"的输出。若未加载到该配置，检查base_dn是否位于ldap模块的主配置块内，而非子section中。

• 交换机认证前置验证
  解决LDAP搜索问题后，用NTRadPing测试时需确保用户名符合AD的sAMAccountName格式；若配置了域名剥离，避免发送带域名后缀的用户名。同时确认FreeRADIUS的sites配置中已在authorization和authentication阶段启用ldap模块。

内容的提问来源于stack exchange，提问作者Wilmer Wubs