无线控制器对接ldap做portal认证，ldap是否可以配置主备。

对于无线控制器直接对接LDAP做Portal认证的场景，答案是：现阶段无法像RADIUS那样，直接在接入设备上为主备LDAP服务器指定primary和secondary标签，实现自动高可用。

 为什么AC不能像配RADIUS那样配LDAP主备？

这主要源于两者的协议和设计逻辑差异：

1. 认证流程不同：RADIUS的primary/secondary是标准配置，能在服务器无响应时自动切换。但LDAP认证，尤其是用于Portal场景时，认证流程相对简单：AC将用户名和密码发给LDAP服务器，服务器返回“是/否”结果，会话随即结束，设备不会持续保持连接来感知在线状态。

2. 配置模型差异：在H3C Comware系统中，ldap server视图用于定义单个LDAP服务器的连接参数，而ldap scheme视图则调用这些已定义的服务器。这个模型本身是为对接单台服务器设计的，并没有为多服务器主备预留直接的配置命令。

 两种替代方案：如何实现LDAP认证的高可用？

虽然不能做原生主备，但我们可以通过以下方案达到目的：

方案一：使用“DNS + 多A记录”实现负载分担和高可用（推荐）

这是利用DNS的天然特性，最优雅、改动最小的方案，通过典型的负载均衡思路来实现高可用：

• 核心思路：不要让AC直接配置LDAP服务器的IP，而是在LDAP服务器前，部署一个DNS服务器。

• 操作步骤：

  1. 在DNS服务器上，为LDAP服务创建一个域名（例如 ldap.h3c.com）。

  2. 为这个域名添加多条A记录，每条A记录对应一个LDAP服务器的IP地址（所有主备LDAP服务器的IP）。

• 工作机制：当AC向DNS服务器解析 ldap.h3c.com 时，DNS服务器会轮询返回这些IP地址。当一台LDAP服务器故障时，该IP无法响应，AC的认证请求会超时并重试。由于DNS轮询机制，下一次解析可能会拿到另一个正常LDAP服务器的IP，从而在一定程度上实现了故障时的切换。

方案二：通过 AAA / Portal 服务器的“卸载”或“代理”功能

这个方案适用于网络规模较大、对认证高可用性有严格要求的场景，可以规避直接在AC上配置LDAP主备的问题。

• 核心思路：AC不直接与LDAP服务器交互，而是与专业的AAA或Portal服务器对接，再由这些服务器处理LDAP认证。

• 实现方式：

  1. H3C iMC（智能管理中心）：这是H3C的官方解决方案。在iMC上配置好主备LDAP源，然后将AC的认证指向iMC的RADIUS服务。iMC会负责LDAP认证的高可用和负载均衡。

  2. FreeRADIUS等开源方案：通过配置ldap模块，并设置resurrect、timeout等参数，实现主备LDAP服务器的故障切换。

一、原理说明

• AC 的 AAA → LDAP 方案里可绑定多个 LDAP 服务器，并设置优先级（主 / 备）。
• 认证时：优先主 LDAP；主不可达（探测超时）→ 自动切到备；主恢复后切回主。
• 适用：本地 Portal / 外置 Portal + LDAP 认证场景。

二、配置要点（Comware V7 为例）

1. 创建主、备 LDAP 服务器

2. 创建 LDAP 方案，绑定主备服务器

3. Portal 域 / 认证模板引用 LDAP 方案

三、关键注意事项

1. 必须开启 server detect enable：否则主故障后不会自动切备。
2. 主备 LDAP 数据同步：AC 只做认证转发，数据同步需在两台 LDAP 间配置（如 AD 复制、OpenLDAP 同步）。
3. 切换机制：主恢复后自动切回主，避免长期跑备。
4. 规格：单 LDAP 方案最多可绑定 4 台 LDAP 服务器（主 + 多备）。

四、总结

• ✅ 支持 LDAP 主备：AC 可配置多 LDAP 服务器，按优先级自动切换。
• ✅ 配置核心：创建主备 LDAP 服务器 → 绑定到同一方案并开探测 → Portal 域引用方案。