如何用Nginx实现LDAP正向代理？配置后连接失败排查

问题背景 #

需要为公共LDAP服务db.debian.org:389搭建TCP正向代理，使用Nginx实现，当前配置如下：

stream {
    server {
        listen     389;
        proxy_pass db.debian.org:389;
    }
}

本地Nginx已开启389端口，nc测试显示连通正常：

nc -zv localhost 389

Connection to localhost (127.0.0.1) 389 port [tcp/*] succeeded!

但通过localhost:389访问LDAP服务失败，执行ldapsearch命令报错：

ldapsearch -x -H ldap://localhost -x -b 'gid=slyon,ou=users,dc=debian,dc=org' -v -d8

ldap_initialize( ldap://localhost:389/??base )
ber_get_next failed, errno=0.
ldap_result: Can't contact LDAP server (-1)

问题原因 #

Nginx默认的TCP代理配置未适配LDAP协议的长连接特性与BER编码数据传输要求：

• LDAP依赖持续的长连接完成请求交互，而Nginx默认proxy_timeout较短，会提前断开空闲连接
• 缺少TCP keepalive配置，无法维持连接活性
• 默认的数据包缓冲机制可能导致BER编码的LDAP数据传输异常，引发解码失败

正确的代理配置 #

调整Nginx的stream配置，增加连接保持、超时优化项，适配LDAP协议需求：

stream {
    server {
        listen     389;
        proxy_pass db.debian.org:389;
        # 延长代理超时时间，适配LDAP长连接场景
        proxy_timeout 1h;
        # 开启TCP keepalive，维持连接持续活性
        proxy_socket_keepalive on;
        # 禁用Nagle算法，减少小数据包传输延迟
        tcp_nodelay on;
    }
}

验证步骤 #

修改配置后重启Nginx，执行以下命令测试代理有效性：

ldapsearch -x -H ldap://localhost -b 'gid=slyon,ou=users,dc=debian,dc=org' -v

若返回正常的LDAP用户条目，则说明代理配置生效。

内容的提问来源于stack exchange，提问作者Michael Chudinov