仅IPv6环境下Java17连接LDAP报Permission denied问题排查

我们正在测试应用仅在IPv6环境下运行，在Windows 10、Java 17环境中禁用网络层面的IPv4设置后，连接LDAP时遇到以下错误：

SEVERE: LDAPException: Unable to connect to server YVONTEXXXXX1F3.XXXXXX.net:6,366 (91) Connect Error
java.net.SocketException: Permission denied: connect'

Caused by: java.net.SocketException: Permission denied: connect
        at java.base/sun.nio.ch.Net.connect0(Native Method)
        at java.base/sun.nio.ch.Net.connect(Net.java:579)
        at java.base/sun.nio.ch.Net.connect(Net.java:568)
        at java.base/sun.nio.ch.NioSocketImpl.connect(NioSocketImpl.java:588)
        at java.base/java.net.SocksSocketImpl.connect(SocksSocketImpl.java:327)
        at java.base/java.net.Socket.connect(Socket.java:633)
        at java.base/sun.security.ssl.SSLSocketImpl.connect(SSLSocketImpl.java:299)
        at java.base/sun.security.ssl.SSLSocketImpl.<init>(SSLSocketImpl.java:158)
        at java.base/sun.security.ssl.SSLSocketFactoryImpl.createSocket(SSLSocketFactoryImpl.java:88)
        at com.novell.ldap.LDAPJSSESecureSocketFactory.createSocket(LDAPJSSESecureSocketFactory.java:96)
        at com.novell.ldap.Connection.connect(Connection.java:455)
        ... 42 more

疑问： #

• LDAP是否支持IPv6？
• 是否需要调整防火墙设置？

注：启用IPv4时连接正常。

问题分析与解决方案 #

1. LDAP对IPv6的支持情况 #

LDAP协议本身完全支持IPv6，但需满足两个核心前提：

• LDAP服务器必须配置并开启IPv6监听，且域名YVONTEXXXXX1F3.XXXXXX.net能解析到有效的IPv6地址。可在Windows命令行执行nslookup -type=AAAA YVONTEXXXXX1F3.XXXXXX.net验证解析结果，若返回空值，说明域名未配置IPv6记录，纯IPv6环境下应用无法定位服务器。
• 你使用的Novell LDAP客户端库（com.novell.ldap）需适配IPv6。较新版本的该库已支持IPv6连接，若使用旧版本，可能存在兼容性问题，建议升级到最新稳定版。

2. 防火墙设置的必要性 #

Permission denied: connect错误大概率和防火墙/网络策略相关，需检查以下几点：

• 本地Windows防火墙：确认Windows防火墙允许Java进程（或你的应用程序）通过IPv6网络出站连接到LDAP服务器的6366端口（日志中的6,366为格式错误，实际应为6366端口）。可在防火墙高级设置中添加IPv6出站规则，放行对应端口。
• LDAP服务器端防火墙：检查LDAP服务器所在网络的防火墙是否允许来自客户端IPv6地址的6366端口连接请求。若服务器仅开放IPv4端口访问，纯IPv6环境下必然无法连接。
• 系统网络策略：Windows系统的IPv6网络策略可能限制了特定进程的出站权限，可通过netsh advfirewall命令或组策略检查相关配置。

额外排查点 #

• Java IPv6配置：Java 17默认支持IPv6，可通过启动参数-Djava.net.preferIPv6Addresses=true强制应用优先使用IPv6，避免尝试IPv4连接。
• 端口配置验证：确认应用代码中配置的LDAP端口为6366，避免因端口配置错误导致连接失败。

内容的提问来源于stack exchange，提问作者Yugandhar Reddy