F100+LDAP

1、检查连通性，防火墙带源ping

2、和域控管理员核对信息，另外你也可以用第三方的域控测试工具，去测试一下，你的域控链接账号

检查下连通性情况 

报错是从 LDAP 服务器上导入用户失败，原因是连接服务器失败，属于防火墙根本连不上 AD 域控，不是账号 DN、搜索根节点这种 LDAP 绑定校验问题，按下面顺序一步步排查。

第一步：先确认网络连通与端口（最高概率）

你现在配置里 VRF 选的【公网】，源 IP 也填了公网 VRF 下的 IP，必须确认防火墙在公网 VRF 内，能通 AD 服务器 172.16.x.x 的 389 端口。 CLI 敲命令测试：

1. ping 不通：检查公网 VRF 路由，防火墙有没有去往 AD 服务器网段路由；域控侧有没有放通防火墙源 IP。
2. ping 通但是 telnet 389 失败：
   • Windows2016 服务器防火墙，入站规则放行 TCP 389；
   • 域控本身有没有开启 LDAP 签名强制（组策略强制 LDAP 签名，简单绑定会直接拒绝连接，这个 win2016 常见坑）；
   • 域控本地安全策略→域控制器：LDAP 服务器签名要求，如果设置 “需要签名”，普通 389 简单 bind 会失败，要么改成不需要，要么改用 LDAPS 636 端口。

重点：VRF 选错是高频坑！如果 AD 服务器在 trust 内网，但是 LDAP 服务器配置选了 VRF = 公网，源 IP 用公网地址，报文直接从外网口发，肯定连不上。看截图你 VRF 选公网，确认 AD 服务器是不是真的在公网 VRF 路由可达范围。

第二步：检查 LDAP 服务器配置页参数

1. 管理员 DN 填写：AD 管理员账号不能直接填 admin@xxx，标准 DN 格式：cn=administrator,cn=users,dc=xxx,dc=com，很多人这里直接填账号名，bind 会失败。

你截图管理员 DN 写的是 admin 开头，大概率 DN 格式不对。可以在域控上打开ldp.exe工具，查看管理员账号完整 DN。

2. 管理员密码：输入域管理员账号对应的密码，注意前后空格。
3. LDAP 版本：选 V3 没问题，AD 支持 V3。
4. 过滤条件(objectClass=user)这个没问题，是 AD 标准用户过滤。
5. 用户 DN 查询起始节点（Base DN）：ou=h3c_users,dc=xxx,dc=xxx，确认这个 OU 在 AD 真实存在，拼写不能错。

第三步：安全策略放行

防火墙本身的域间策略：公网 VRF 对应的源区域→AD 服务器所在区域，放行防火墙源 IP 访问 AD 服务器 TCP 389。

很多人只放终端访问域控，忘记防火墙自身发起 LDAP 连接也要安全策略允许。

第四步：AD 侧 LDAP 签名坑（Win2016 特有）

win2016 域控默认会有 LDAP 签名策略，如果组策略启用【需要 LDAP 签名】，普通 389 端口简单 LDAP 绑定直接拒绝连接，现象就是 TCP 389 端口能通，但是 LDAP 握手失败，提示连接服务器失败。 两种解决办法： 方案 A（临时测试）：域控组策略，把【域控制器：LDAP 服务器签名要求】改成无，刷新组策略； 方案 B（推荐生产）：改用 LDAPS，端口 636，域控部署证书，防火墙 LDAP 服务器改成 636 端口。

第五步：WEB 界面连通性测试

F100 V7 的 LDAP 服务器编辑页面，保存配置后，先点【连通测试】，不要直接跑用户导入。连通测试成功之后，再去用户导入策略手动同步。连通测试按钮可以直接定位是网络不通还是 bind 认证失败。

排查命令（CLI）

打开 ldap 调试，看是 TCP 建立失败，还是 LDAP bind 返回错误码。

快速排查顺序总结

1. 确认 VRF 选择是否正确，防火墙源 IP 所在 VRF 能不能路由到达 AD 服务器；ping+telnet 389 验证。
2. 防火墙安全策略放行防火墙源 IP 访问 AD 服务器 TCP389。
3. 域控 Windows 防火墙放行 TCP389，检查 LDAP 签名策略。
4. 修正管理员 DN，必须填写完整 DN，不要写邮箱格式账号。
5. LDAP 页面先做连通测试，连通测试成功再执行用户同步。

补充：同步成功之后，在安全策略调用域用户，限制特定域用户访问外网，这个 F100 V7 是支持的，等 LDAP 用户导入成功后，在对象 - 身份识别用户里面就能看到同步过来的 AD 账号，安全策略源身份选择域用户即可。