LDAP服务器不可达时Sendmail拒收用户邮件的临时错误配置咨询

我之前碰到过一模一样的场景，LDAP偶尔宕机时Sendmail直接拒信确实很影响业务，这里有几个简便且有效的解决方案：

方案一：调整nss_ldapd的缓存与超时配置 #

Sendmail是通过NSS（Name Service Switch）查询本地用户的，所以让nss_ldapd在LDAP不可用时返回临时不可用状态，而不是直接告知“用户不存在”，就能让Sendmail返回临时错误。

修改/etc/nslcd.conf（nss_ldapd的主配置文件），添加或调整以下参数：

• bind_timelimit 5：缩短LDAP绑定操作的超时时间到5秒，避免Sendmail长时间等待
• timelimit 5：设置LDAP查询操作的超时时间
• cache yes：启用本地缓存，LDAP正常时缓存用户数据，宕机时直接调用缓存内容
• cache_ttl 3600：缓存有效期设为1小时（可根据你的用户变更频率灵活调整）
• negative_cache no：关键配置，关闭负缓存（即不缓存“用户不存在”的结果），这样当LDAP不可用时，nss_ldapd不会返回“用户不存在”，而是返回服务不可用状态

修改后重启nslcd服务：

systemctl restart nslcd

这个方案的优势是不需要改动Sendmail核心配置，完全通过NSS层处理，对正常用户查询逻辑无影响。

方案二：修改Sendmail配置，将用户查询失败转为临时错误 #

如果方案一无法满足需求（比如无法启用缓存），可以直接调整Sendmail的错误返回逻辑。

编辑Sendmail的sendmail.mc配置文件，添加以下宏定义：

define(`ERROR_RCPT_NOT_FOUND', `450 4.1.1 User unknown, please try later')dnl

然后重新生成sendmail.cf并重启服务：

m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf
systemctl restart sendmail

⚠️ 注意：这个方案会把所有“用户不存在”的情况都返回临时错误，包括真的不存在的用户，可能导致无效邮件被重复重试。只建议在LDAP不可用场景远多于真用户不存在的场景下使用，或者结合方案一搭配使用。

方案三：使用Sendmail的LOCAL_RELAY特性兜底 #

另一个思路是，当LDAP不可用时，将邮件暂存到本地队列后续重试。通过配置LOCAL_RELAY让Sendmail无法验证用户时，将邮件视为本地邮件暂存：

在sendmail.mc中添加：

FEATURE(`local_procmail')dnl
FEATURE(`accept_unresolvable_domains')dnl
LOCAL_RELAY(`localhost')dnl

重新生成配置并重启服务，这样当用户查询失败时，Sendmail会将邮件留在本地队列，每隔一段时间自动重试，直到LDAP恢复正常。

内容的提问来源于stack exchange，提问作者Ben Clifford