主页 / server / 问题 / 825528
Accepted
Gerald Schneider
Asked: 2017-01-12 02:05:58 +0800 CST

在 apache 上使用 ldap auth 调试超时

  • 772

几个月来，我一直在尝试调试 Apache 的超时问题。

该模式如下所示：

在新会话的每个第一个请求（或在最后一个请求之后的一段时间后）浏览器会立即要求提供凭据，然后使用基本身份验证发送请求。然后服务器在发送结果之前正好等待 1 分钟。

在此处输入图像描述

随后的请求会立即得到答复，这只发生在一段时间后的请求（尚无法准确定位，在 5 到 15 分钟之间）。

等待时间可精确重现 60 秒这一事实对我来说就像是超时。如果我取消请求并点击重新加载，我会立即获得请求的 URL。

由于密码提示也会立即出现，我可以排除客户端和服务器之间的 SSL 握手问题，或者那条腿上的 DNS 问题。如果我请求 PHP 脚本或空白文本文件并不重要，这也排除了服务器上的脚本问题。我猜验证过程的结果会被缓存一段时间，因此后续请求不需要它。

请注意，身份验证总是成功的，所以我也可以排除“域控制器没有回答”的问题。

Apache 2.4 在 Windows Server 2012 R2 上运行。它是为 LDAP 身份验证配置的：

<Location />
    AuthType Basic
    AuthName "AD Login"
    AuthBasicProvider ldap
    LDAPReferrals Off
    #AuthLDAPUrl ldap://dc01.domain.de:3268/dc=ad,dc=domain,dc=de?sAMAccountName?sub?(objectClass=*)
    #AuthLDAPUrl ldap://ad.domain.de:389/dc=ad,dc=domain,dc=de?sAMAccountName?sub?(objectClass=*) STARTTLS
    AuthLDAPUrl ldap://ad.domain.de:389/dc=ad,dc=domain,dc=de?sAMAccountName?sub?(objectClass=*) TLS
    AuthLDAPBindDN "[email protected]"
    AuthLDAPBindPassword "secret"
    Require valid-user
    Require all denied
</Location>

如您所见，我尝试了与域控制器的不同连接类型，我使用哪种加密方法似乎并不重要，或者我是否传递加密。

ad.domain.de 解析到多个域控制器，但如果我连接到特定的 DC，行为是相同的。

错误日志中没有条目LogLevel info，我还在犹豫是否将其增加到debug，因为我从经验中知道我无法筛选生成的调试信息。

有什么我错过的东西可以用来调试问题，还是我必须通过调试级别日志记录？

active-directory timeout apache-2.4 mod-auth-ldap

1 个回答

  1. Best Answer

    增加模块的日志级别后authnz_ldap，ldap错误日志中出现以下错误消息：

    ldap_simple_bind() 在重用连接上超时，被防火墙丢弃？

    这让我看到了这个 mod_ldap 错误报告，虽然结果是配置错误，但它指出了实际问题：

    正如其他地方报道的那样，Windows 会在 900 秒后关闭 LDAP 连接，但默认的 Apache 行为似乎试图无限期地重用该连接。如果 Apache 在 Windows 关闭连接后尝试重新使用，则会有 60 秒的延迟等待连接超时 [...]

    进行一些快速检查以确认这一点：

    MaxConnIdleTimeMicrosoft LDAP Policies 中的默认值为900 秒，这与我的观察结果相符，即 15 分钟后问题再次出现。60 秒的延迟也完全符合我的问题。

    根据该错误报告，应该通过将LDAPConnectionPoolTTL值设置为低于MaxConnIdleTime默认值 -1 的值来解决问题，但这对我不起作用。我必须将值设置为0，禁用现有连接的重用。

    LDAPConnectionPoolTTL 0

    我预计不会有任何性能问题，因为无论如何都会缓存 ldap 结果。

    唯一仍然是一个谜是为什么这个问题只发生在我们在 Windows 上运行的 Apache 实例上，而不是在 Linux 上运行的 Apache 实例上。

    • 3

相关问题