Django LDAPS服务报错SERVER_DOWN 原有稳定认证服务突发故障咨询

排查方向 #

• 优先验证网络连通性
  在Django应用部署的服务器上执行端口连通性测试：

  # 测试端口是否可达
  nc -zv ldaps.server.net.au 636
  # 验证域名解析是否正常
  nslookup ldaps.server.net.au
  

  如果端口不通，优先排查链路问题：应用服务器的出站安全组/防火墙规则、LDAP服务器的入站规则、路由策略、LDAP服务本身是否正常运行、近期是否有DNS配置变更导致域名解析到错误IP。
• 排查LDAPS证书相关问题
  稳定运行2年后突发故障，大概率和证书到期相关，执行命令验证证书状态：

  openssl s_client -connect ldaps.server.net.au:636 -showcerts
  

  检查返回结果中的证书有效期、签发链是否被系统信任。可临时在Django配置的AUTH_LDAP_CONNECTION_OPTIONS中新增以下配置测试：

  ldap.OPT_X_TLS_REQUIRE_CERT: ldap.OPT_X_TLS_NEVER
  

  新增后如果认证恢复正常，即可确认是证书问题，后续更新服务器证书或客户端信任的根证书即可，该测试配置仅用于验证，生产环境不可留存。
• 验证系统级LDAP连接能力
  在应用服务器上直接用系统原生ldap工具测试连接：

  ldapsearch -x -H ldaps://ldaps.server.net.au:636 -d 1
  

  如果系统工具也无法连接，可排除Django及依赖包的问题，优先排查：
  1. LDAP服务器是否近期开启了TLS版本限制（比如禁用了TLS1.0/1.1，仅允许TLS1.2+），而服务器系统的openldap依赖库版本过低不支持高版本TLS
  2. LDAP服务器是否新增了IP访问限制，应用服务器的IP近期有变更导致被拦截
  3. 近期是否执行过系统包更新，升级了libldap等底层依赖导致兼容问题
• 检查应用运行环境变更
  确认近期是否有重新构建应用镜像、升级系统依赖、调整容器网络配置等操作，这类变更也可能导致LDAP连接异常。

内容的提问来源于stack exchange，提问作者sighmon