Docker容器无法连接外部LDAP及GitLab部署配置求助

1. 先做基础连通性验证 #

• 进入GitLab容器测试能否ping通LDAP服务器IP：

  docker exec -it <gitlab容器名> ping <LDAP服务器IP>
  

  如果ping不通，直接指向网络路由问题；如果能ping通，再测试端口连通：

  docker exec -it <gitlab容器名> telnet <LDAP服务器IP> <LDAP端口>
  

• 检查容器内DNS解析（如果LDAP用域名访问）：

  docker exec -it <gitlab容器名> cat /etc/resolv.conf
  

  确认DNS服务器能正常解析LDAP域名。

2. 自定义桥接网络的路由与冲突排查 #

你用了自定义gitlab-network桥接网络，这是最可能出问题的环节：

• 检查自定义子网是否和主机局域网子网冲突：比如主机局域网是192.168.1.0/24，自定义网络如果也用同一段，会导致路由混乱。修改docker-compose.yml里的子网段，比如改成172.20.0.0/16
• 开启虚拟机的IP转发功能：

  sysctl net.ipv4.ip_forward
  

  如果返回0，执行以下命令永久开启：

  sysctl -w net.ipv4.ip_forward=1
  echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
  

• 检查虚拟机防火墙（ufw）规则：允许自定义网络子网访问LDAP端口，比如LDAP用389端口：

  ufw allow from 172.20.0.0/16 to any port 389
  

3. GitLab的LDAP配置修正 #

• 绝对不能用localhost或127.0.0.1作为LDAP主机地址，容器的localhost指向自身，不是虚拟机宿主机，必须写LDAP服务器的局域网IP
• 进入容器修改/etc/gitlab/gitlab.rb的LDAP配置段，示例：

  gitlab_rails['ldap_enabled'] = true
  gitlab_rails['ldap_servers'] = YAML.load <<-'EOS'
    main:
      label: '公司LDAP'
      host: '192.168.1.100' # LDAP服务器的局域网IP
      port: 389
      uid: 'sAMAccountName'
      bind_dn: 'cn=admin,dc=company,dc=com'
      password: '绑定账号密码'
      encryption: 'plain' # 按需改成ssl或start_tls
      base: 'dc=company,dc=com'
  EOS
  

  修改后执行gitlab-ctl reconfigure生效。

4. Docker Compose配置调整要点 #

检查你的docker-compose.yml，重点关注网络部分：

version: '3.8'

networks:
  gitlab-network:
    driver: bridge
    ipam:
      config:
        - subnet: 172.20.0.0/16 # 确保不与主机局域网子网冲突
          gateway: 172.20.0.1

services:
  gitlab:
    image: gitlab/gitlab-ce:latest
    container_name: gitlab
    networks:
      gitlab-network:
        ipv4_address: 172.20.0.10 # 固定IP必须在子网范围内
    # 其他端口、挂载配置...
  postgres:
    image: postgres:14
    container_name: postgres
    networks:
      gitlab-network:
        ipv4_address: 172.20.0.11
    # 其他数据库配置...

如果固定IP导致路由问题，可以临时注释掉ipv4_address配置，让Docker自动分配IP，测试是否能连接LDAP，排查是否是固定IP的路由冲突。

5. 虚拟机网络模式检查 #

如果你的Ubuntu虚拟机用的是NAT网络模式（比如VMware默认），容器无法直接访问局域网内的LDAP服务器，需要把虚拟机改成桥接模式，让虚拟机直接获取局域网IP，容器才能通过自定义网络访问LDAP。

内容的提问来源于stack exchange，提问作者AlterNetywny