Apache Directory Studio中StartTLS连接认证失败求助

环境 #

• Rocky Linux 8.5 虚拟机部署 OpenLDAP
• 已通过OpenSSL生成自签名证书配置StartTLS

问题现象 #

• 虚拟机本地使用ldapsearch命令测试StartTLS连接完全正常：

  ldapsearch -x -w (password) -H ldap:/// -D cn=admin,dc=ldapmaster,dc=xxxxx,dc=com 
  -b dc=ldapmaster,dc=xxxxx,dc=com -ZZ
  

• 使用Apache Directory Studio连接时，认证阶段失败，报错：

  ERR_04169_RESPONSE_QUEUE_EMPTIED The response queue has been emptied, no response was found.
  

• 已确认网络参数无问题

可能的解决方法 #

1. 导入自签名证书到Apache Directory Studio信任存储 #

Apache Directory Studio依赖Java信任存储，默认不认可自签名证书，这是最常见的触发原因：

• 从OpenLDAP服务器导出证书文件（例如路径/etc/openldap/certs/server.crt）
• 打开Apache Directory Studio，依次点击 Window > Preferences > Connections > SSL Trust Stores
• 点击Add，选择导出的证书文件，设置别名后保存
• 重新配置连接，在SSL/StartTLS选项中选择刚才添加的信任存储

2. 校验OpenLDAP的StartTLS配置 #

确认OpenLDAP的TLS配置无异常：

• 检查cn=config或slapd.conf中，olcTLSCertificateFile、olcTLSCertificateKeyFile、olcTLSCACertificateFile的路径是否正确，文件权限是否为ldap用户可读取
• 确保olcTLSAllowClientCert设置为no（若不需要客户端证书认证）
• 重启slapd服务：systemctl restart slapd

3. 调整Apache Directory Studio连接参数 #

• 在连接配置的Network选项中，取消勾选Use system proxy settings，选择直接连接
• 在Connection选项中明确填写虚拟机IP和端口，例如ldap://192.168.x.x:389，避免使用ldap:///
• 在Authentication选项中，确认选择Simple Authentication，绑定DN和密码填写准确

4. 检查防火墙与SELinux设置 #

• 确认虚拟机防火墙允许外部访问389端口：firewall-cmd --add-service=ldap --permanent && firewall-cmd --reload
• 临时关闭SELinux测试：setenforce 0，若恢复连接再调整SELinux策略（例如添加allow_ldap_httpd相关规则）

内容的提问来源于stack exchange，提问作者suxxzzy