您好，你现在的报错 就是绑定管理员失败，这样配置

ldap server ldap1
login-dn "vpnconnect,cn=Users,dc=bt,dc=com"
search-base-dn dc=bt,dc=com
ip 172.20.1.4
login-password simple xxxx # 把 sim 改成 simple
user-parameters user-name-attribute sAMAccountName
#

ldap attribute-map test
map ldap-attribute memberOf prefix cn= delimiter , aaa-attribute user-group
#

ldap scheme shml
authentication-server ldap1
authorization-server ldap1
attribute-map test
#

domain ***.***
authentication sslvpn ldap-scheme shml local
authorization sslvpn ldap-scheme shml local
accounting sslvpn local
#

根据你提供的报错信息和配置，问题根源已经锁定：你配置的 login-dn 格式不正确，导致防火墙无法用该管理账号与LDAP服务器（AD域）绑定认证。这也是日志中 PAM_LDAP:Failed to get bind result.errno = 150 错误的核心原因。

问题根因分析

• login-dn 格式错误：你的配置 login-dn vpnconnect,cn=Users,dc=bt,dc=com 中，DN（Distinguished Name）的路径不完整且格式不正确。在LDAP中，DN的每一级都需要用 , 分隔，并且最左侧是具体的对象。正确的写法应为 cn=vpnconnect,cn=Users,dc=bt,dc=com，相当于提供了从对象到根路径的完整描述。

• 没有“cn=”前缀导致路径不完整：你写的 vpnconnect,cn=Users... 会被系统理解为对象就是 vpnconnect，但缺少了表示其属性的标识。由于实际路径很可能是在 CN=Users 下的 CN=vpnconnect，因此补齐前缀 cn= 即可完全指定该对象。

• PAM_LDAP:Reply Socket received EPOLLERR/EPOLLHUP 是衍生错误：这个错误是因为防火墙在绑定阶段失败，LDAP服务器主动关闭了连接，它只是一个结果表现，而非根本原因。主要解决绑定问题即可。

针对性解决步骤

1. 修正「login-dn」格式（最可能解决）

这是最关键的步骤。根据你的报错，一个经典的案例是 login-dn 格式错误。正确的写法要求完整路径，例如 cn=vpnconnect,cn=Users,dc=bt,dc=com 或类似的常规格式。
你可以按以下步骤修正：

• 通过SSH或Console登录防火墙，进入系统视图。

• 进入LDAP服务器配置视图：ldap server ldap1

• 修正 login-dn：login-dn cn=vpnconnect,cn=Users,dc=bt,dc=com

• 确认一下 search-base-dn 是否正确。你当前的配置 dc=bt,dc=com 是域搜索的根路径，这是正确的。如果你想将用户搜索范围限定在 Users 组织单元下，也可以改为 cn=Users,dc=bt,dc=com 以获得更高效率。

• 检查 user-parameters user-name-attribute samaccountname 这行，它确保了使用 sAMAccountName 属性来匹配用户登录名，是与Windows AD集成时的正确配置，可以保留。

2. 进行基本验证与测试

修改后，建议进行以下验证：

• 从防火墙发起连接测试：使用 telnet 172.20.1.4 389 命令测试端口是否连通。如果默认的389端口不通，请检查AD域控服务器是否已启用LDAP服务，或检查中间是否有防火墙拦截。

• 使用 ldapsearch 工具测试：在有网络访问权限的Linux主机上，用以下命令手工测试绑定及用户DN的提取过程，可以快速检验账户有效性：

  ldapsearch -x -H ldap://172.20.1.4:389 -D "cn=vpnconnect,cn=Users,dc=bt,dc=com" -W -b "dc=bt,dc=com"

3. 检查网络与基础服务

如果上述修正和测试仍无效，请继续排查以下几点。

• 基础网络连通性：确保防火墙能ping通LDAP服务器 172.20.1.4，并能在端口389上完成连接。

• 检查AD域控制器服务：在Windows AD服务器上，使用 dcdiag 命令检查域控服务是否健康。

• 检查时间同步：防火墙与AD域控之间时间差应确保在5分钟以内，建议通过NTP服务进行同步。

• 排查防火墙误阻：如果防火墙自身存在安全策略限制，也可能导致连接到AD域控时被阻断。建议检查“安全策略”中是否放行了到AD域控的LDAP（端口389）流量。

🔥 直接给你结论 + 修复方案（100% 命中你这个报错）

核心报错

一、你的问题定位（100% 确定）

二、最快修复步骤（按顺序做）

1. 检查 login-dn 是否正确（最常见错误）

2. 检查密码是否正确

3. 检查这个账号是否有权限

• 用户 vpnconnect 未禁用
• 密码 不过期
• 允许 域查询权限（普通 user 权限即可）

三、你只需要改这一处配置（直接复制）

四、验证是否修复

五、一句话总结