安装带DNS的FreeIPA时遇NetworkError：无法连接ldap://labipa.example.com:389

我之前部署FreeIPA的时候也踩过这个LDAP连接失败的坑，结合你给出的环境信息，咱们一步步来排查解决：

1. 先确认基础网络连通性 #

• 先在本地执行 ping labipa.example.com，验证域名解析是否正常（虽然你说已经配置了/etc/hosts，但再确认下返回的IP是不是FreeIPA服务器的正确地址）
• 用端口测试工具验证端口是否开放：
  • 执行 telnet labipa.example.com 389 或者 nc -zv labipa.example.com 389，如果连接超时，先排查防火墙：
    • 在FreeIPA服务器上执行 firewall-cmd --list-services，确认是否包含 freeipa-ldap 服务（这个服务会自动开放389等必要端口）
    • 临时关闭防火墙测试：systemctl stop firewalld，如果能连上了，说明是防火墙规则的问题，后续再重新配置允许LDAP端口的规则

2. 检查FreeIPA相关服务状态 #

• 在服务器上执行 ipactl status，查看所有组件的运行状态，重点看 dirsrv（LDAP服务） 是否正常启动
• 如果dirsrv未运行，尝试启动服务：systemctl start dirsrv@labipa.example.com.service，然后再用 ipactl status 确认
• 查看dirsrv的日志找报错：journalctl -u dirsrv@labipa.example.com.service -f，实时查看日志，看有没有启动失败、端口被占用或者配置错误的信息

3. 验证/etc/hosts配置的准确性 #

• 检查本地（包括客户端和服务器）的/etc/hosts文件，确认labipa.example.com对应的IP是服务器的正确IP，且没有重复的条目导致解析冲突
• 执行 getent hosts labipa.example.com，查看系统实际解析到的IP，和你预期的是否一致；如果有缓存问题，执行 systemctl restart nscd 刷新名称服务缓存

4. 排查SELinux的影响 #

• 临时关闭SELinux测试：setenforce 0，如果此时能连接LDAP了，说明是SELinux策略阻止了连接
• 查看SELinux审计日志找具体拒绝项：ausearch -m avc -ts recent，根据日志提示调整SE布尔值或者恢复文件上下文，比如执行 restorecon -R /etc/dirsrv/ 修复目录权限

5. 修复可能的FreeIPA配置损坏 #

• 如果以上步骤都没解决，尝试升级修复配置：ipa-server-install --upgrade，这个命令会重新生成并修复FreeIPA的相关配置文件
• 检查LDAP服务的监听配置：打开/etc/dirsrv/slapd-labipa-example.com/dse.ldif，确认nsslapd-listenhost是否设置为服务器的IP或者*（允许所有IP访问），nsslapd-port是否为389

内容的提问来源于stack exchange，提问作者Mark Matlock