使用python-ldap查询AD时为何抛出ldap.REFERRAL异常？

问题分析 #

你已成功完成AD绑定，但使用分页查询时触发REFERRAL异常，核心原因如下：

• 虽然设置了ldap.OPT_REFERRALS=0，但该选项仅禁止客户端自动跟随referral，无法阻止AD服务器返回referral响应。当AD判定你的查询需要指向其他域控制器（如跨分区、跨域查询场景），仍会返回referral，此时python-ldap会抛出REFERRAL异常。
• 异常信息中的ldap://domain.local/DC=domain,DC=local表明AD引导你查询根域的全局编录或负责目标分区的DC。

解决方案 #

1. 连接全局编录（最通用方案） #

若查询需覆盖整个域森林，直接连接AD的全局编录（端口3268）而非普通LDAP端口（389）。全局编录存储整个域森林的核心属性，不会返回跨分区referral：

# 替换原uri为全局编录地址
uri = "ldap://your-ad-server:3268"
con = ldap.initialize(uri, bytes_mode=False)
con.protocol_version = ldap.VERSION3
con.set_option(ldap.OPT_REFERRALS, 0)
con.simple_bind_s(bindDN, bindPW)

2. 确保查询的baseDN归属当前DC分区 #

检查你的baseDN是否属于当前连接DC负责的分区。例如，若当前DC管辖OU=Users,DC=site,DC=domain,DC=local，但你使用DC=domain,DC=local作为baseDN，AD可能返回referral指向根域DC。将baseDN调整为当前DC管辖的分区即可。

3. 手动处理referral异常 #

若必须处理referral，可在捕获异常后提取referral地址重新连接查询：

try:
    result = con.result3(msgid, timeout=timeout, resp_ctrl_classes=known_ldap_resp_ctrls)
except ldap.REFERRAL as ex:
    # 提取referral URL
    referral_url = ex['info'].split('\n')[1]
    # 重新初始化连接到referral地址
    new_con = ldap.initialize(referral_url, bytes_mode=False)
    new_con.protocol_version = ldap.VERSION3
    new_con.set_option(ldap.OPT_REFERRALS, 0)
    new_con.simple_bind_s(bindDN, bindPW)
    # 重新执行查询
    new_msgid = new_con.search_ext(
        baseDN,
        ldap.SCOPE_SUBTREE,
        filterstr,
        attrlist=attrlist,
        serverctrls=[req_ctrl]
    )
    result = new_con.result3(new_msgid, timeout=timeout, resp_ctrl_classes=known_ldap_resp_ctrls)

4. 补充LDAP选项配置 #

添加以下选项可减少referral触发概率：

# 关闭引用跟踪
con.set_option(ldap.OPT_REFERRALS, 0)
# 设置从不解引用别名
con.set_option(ldap.OPT_DEREF, ldap.DEREF_NEVER)

验证建议 #

• 先测试无分页的普通查询（con.search_s），排查是否由分页控制导致异常。
• 确认绑定用户具备查询目标baseDN的权限。

内容的提问来源于stack exchange，提问作者User051209