按Kifarunix指南配置OpenLDAP多主复制失败，报错ldap_sasl_bind_s failed (-1)

1. 复制账号使用不当 #

该指南大概率直接用根管理员cn=admin做复制绑定，但OpenLDAP的SASL绑定对根账号有默认限制，且生产场景中复制应使用专用账号。指南可能缺失以下步骤：

• 创建专用复制账号（如cn=replica,dc=ldapmaster,dc=kifarunix-demo,dc=com）
• 为该账号配置replica权限，确保其拥有同步数据的访问权限

2. LDAPS证书信任未双向配置 #

指南可能仅指导生成本地LDAPS证书，却未说明需将对方服务器的CA证书导入本地OpenLDAP信任目录（如/etc/openldap/certs/），也未提及重启slapd服务使信任配置生效。证书验证失败会直接导致LDAPS连接绑定出错。

3. SASL绑定配置细节缺失 #

报错ldap_sasl_bind_s failed (-1)指向SASL认证失败，指南可能遗漏：

• 明确olcSyncrepl配置中bindmethod=sasl对应的saslmech（如EXTERNAL或DIGEST-MD5）需与账号认证机制匹配
• 若使用EXTERNAL机制，需确保slapd进程用户（通常为ldap）拥有证书密钥的访问权限

4. 网络与安全规则不全 #

指南可能仅开放LDAP的389端口，却忽略LDAPS的636端口，也未处理SELinux限制：

• 未在两台服务器的firewalld中添加ldaps服务规则（开放636端口）
• 未启用SELinux布尔值slapd_can_network_connect，导致slapd无法发起LDAPS出站连接

5. 主机名解析验证缺失 #

指南未强调需确保两台服务器能正确解析对方的FQDN（ldapmaster01.kifarunix-demo.com、ldapmaster02.kifarunix-demo.com），主机名解析失败会直接触发LDAPS连接绑定错误。

内容的提问来源于stack exchange，提问作者Mohammad