OpenLDAP 2.4.56多主复制同步异常排查及架构选型咨询

针对你遇到的多主复制同步不一致问题，可按以下步骤排查修复：

1. 调整负载均衡策略 #

• 将负载均衡的分发规则改为粘性会话（Sticky Session），确保同一客户端的所有写请求（用户创建、角色分配）都路由到同一台LDAP服务器，从根源避免跨节点并发修改引发的同步冲突。

2. 优化同步配置参数 #

修改<openldap_location>/etc/openldap/slapd.d/cn=config/olcDatabase={1}mdb.ldif中的同步参数：

olcSyncrepl: {0}rid=001 provider=ldaps://ldaptest1.com binddn="cn=admin,dc=test,dc=com" bindmethod=simple credentials="test" searchbase="dc=test,dc=com" type=refreshAndPersist retry="5 5 300 +" timeout=30
olcSyncrepl: {1}rid=002 provider=ldaps://ldaptest2.com binddn="cn=admin,dc=test,dc=com" bindmethod=simple credentials="test" searchbase="dc=test,dc=com" type=refreshAndPersist retry="5 5 300 +" timeout=30
olcMirrorMode: TRUE

• 把timeout从1调整为30，避免同步连接因超时时长过短频繁断开，导致部分变更同步失败。
• 确保两台服务器的系统时间通过NTP严格同步，CSN（变更序列号）依赖准确的系统时间，时间偏差会引发同步序列混乱。

3. 完善memberOf模块配置 #

• 确认两台服务器都已启用memberOf和refint（反向引用完整性）模块，确保角色的member属性变更与用户的memberOf属性变更双向同步，避免单边更新导致的属性缺失。
• 检查memberOf模块的配置，确保olcMemberOfDangling设置为ignore或drop，避免无效引用引发同步异常。

4. 启用同步检查点机制 #

在syncprov覆盖配置中添加检查点参数，定期生成同步检查点，减少冲突发生时的回溯范围：

olcOverlay: syncprov
olcSpCheckpoint: 100 10

该配置表示每100次变更或每10分钟生成一次检查点。

5. 临时验证方案 #

暂停负载均衡，将所有写请求临时路由到单台LDAP服务器，执行批量用户创建和角色分配测试。如果测试结果一致，即可确认问题根源为跨节点并发修改，后续持续优化负载策略即可。

主从架构（Master-Slave）—— 优先推荐 #

这是OpenLDAP最稳定、维护成本最低的复制架构，适用于绝大多数业务场景：

• 所有写请求集中到主节点，读请求可分发到多个从节点，天然避免多主架构的同步冲突问题。
• 同步逻辑简单可靠，数据一致性有保障。
• 主节点故障时，可快速将从节点提升为主，切换流程成熟可控。

多主架构（Multi-Master）—— 仅限特殊场景使用 #

仅适合必须在多个地域/节点同时接受写请求的场景（比如跨国业务，本地用户需要就近写入）：

• 多主架构存在先天的同步冲突风险，需要复杂的冲突解决策略和严格的运维管控。
• 维护成本远高于主从架构，对运维人员的OpenLDAP专业能力要求较高。
• 如果没有明确的跨地域写需求，不建议使用多主架构。

内容的提问来源于stack exchange，提问作者koko