创建邮箱时LDAP服务器不可用，大概率不是邮箱程序本身损坏，而是LDAP服务没有启动、389端口被防火墙挡住、后台填写的Base DN或管理员凭据写错，按“服务状态→端口连通→配置比对→日志定位”四步走，多数能在十分钟内恢复。
创建邮箱时LDAP服务器不可用，先确认服务是“活着”的
创建邮箱时,邮件系统会调用LDAP读取组织架构、检查用户名是否重复、自动生成通讯录条目，如果LDAP服务停掉，创建操作会在保存阶段报错，错误信息通常类似“无法连接目录服务”或“LDAP server unavailable”。
第一步不是重装,而是直接看服务状态。
Linux下检查OpenLDAP服务
在部署了OpenLDAP的邮件服务器上执行：
systemctl status slapd
如果状态不是active (running)，直接启动：
systemctl start slapd
启动失败再查看日志：
journalctl -u slapd -n 100
常见启动失败原因包括数据库文件权限被改、配置文件错误、端口被占用，先解决启动问题，再回到邮箱后台重试创建。
Windows下检查Active Directory服务
如果企业邮箱依赖Windows AD作为LDAP目录，创建邮箱时提示目录不可用，先在域控上检查：
Get-Service NTDS
NTDS服务停止时,AD无法提供LDAP查询，启动服务后，还需要等待几十秒让目录服务完全就绪，再回到Exchange或邮件后台操作。
企业邮箱ldap服务器连接不上怎么排查？按链路顺序来
企业邮箱ldap服务器连接不上怎么排查,最怕东试一下西试一下，建议按网络层到应用层的顺序走，六步能覆盖多数情况。
-
ping LDAP服务器IP
判断主机是否在线，如果ping不通，先处理网络或云服务器宕机。 -
测试389端口连通性
在邮件服务器上执行：telnet 192.168.1.10 389
或者：
nc -vz 192.168.1.10 389
如果能连通,说明网络和端口没问题，问题在配置或凭据。
-
查看LDAP进程是否启动
Linux下：ps aux | grep slapd
Windows下：
Get-Process -Name lsass
-
用ldapsearch验证绑定
ldapsearch -x -H ldap://192.168.1.10:389 -b "dc=example,dc=com" -D "cn=admin,dc=example,dc=com" -W
返回
Invalid credentials说明管理员DN或密码错误；返回Can't contact LDAP server说明网络或服务仍异常。 -
检查邮箱后台的LDAP配置项
Base DN、端口、加密方式、管理员DN是否有拼写错误。 -
查看邮件系统的LDAP日志
后台通常会记录连接超时或绑定失败的具体时间，和LDAP服务日志对照着看，能直接定位。
行业共识认为,LDAP连接类故障中，服务未启动和端口不通占了较大比例，真正由数据库损坏导致的只占少数。
Exchange创建邮箱连接不上LDAP的解决方法：先验证域控
Exchange创建邮箱时,并不是直接填一个LDAP地址，而是通过AD域服务完成目录写入，如果Exchange创建邮箱连接不上LDAP，实际多数是Exchange服务器到域控之间的通信出了问题。
三步验证法
第一步：在Exchange服务器上检查域控定位
nltest /dsgetdc:example.com
如果返回找不到域控,说明DNS解析或者域控注册记录有问题。
第二步：检查关键端口
Exchange需要访问域控的TCP 389和3268端口，3268是全局编录端口，Exchange地址列表生成依赖它，可以用PowerShell测试：
Test-NetConnection -ComputerName 域名 -Port 389 Test-NetConnection -ComputerName 域名 -Port 3268
第三步：查看LDAP相关诊断
dcdiag /test:ldap /v
如果测试项出现失败,结合事件查看器里的“Directory Service”日志进一步判断，多数情况下，Exchange创建邮箱连接不上LDAP的根因是域控时间不同步、DNS错误或者站点间复制故障，而不是Exchange自身损坏。
免费邮箱需要单独配LDAP吗？多数个人用户不用纠结
免费邮箱需要单独配LDAP吗？如果你用的是网易、QQ邮箱、Outlook.com这类个人免费邮箱，创建邮箱账号时根本不会碰到LDAP配置，LDAP是服务商后端用来管理账号的组件，用户侧只会看到“注册成功”或“注册失败”。
只有以下场景才会真正面对LDAP不可用：
- 企业自建Exchange、Zimbra、Coremail、Winmail等邮件系统。
- 公司用OpenLDAP或FreeIPA做统一认证。
- 邮件系统需要和AD域同步组织架构和通讯录。
- 使用云托管邮局但自己维护了独立LDAP地址簿。
所以个人用户看到“LDAP不可用”相关文章，多数可以不用继续研究，负责企业邮箱运维的人，才需要掌握上面的排查链路。
北京机房托管自建邮局的排障优先级
北京机房托管的企业邮箱如果创建账号时提示LDAP不可用,优先查安全组和防火墙，而不是先怀疑LDAP服务本身，因为机房和云平台的网络策略往往比物理服务器更早拦截流量。
先看监听地址
在LDAP服务器上执行：
netstat -tunlp | grep 389
如果显示的是0.0.1:389，说明服务只监听本机，外部邮件系统自然连不上，需要修改slapd配置，监听0.0.0或内网IP。
再看云安全组
云服务器部署在北京区域时,默认安全组通常只放行22、80、443端口，389和636没放行，从邮件管理后台过来的请求就会超时或拒绝，登录控制台，在安全组入方向放行TCP 389和636。
最后查系统防火墙
firewall-cmd --query-port=389/tcp
如果返回no,执行放行：
firewall-cmd --permanent --add-port=389/tcp firewall-cmd --reload
业内专家指出,多数企业邮箱创建失败的根因不是复杂兼容问题，而是基础参数没有核对，北京、上海等地的托管机房排障时，按“监听→安全组→系统防火墙→服务状态”的顺序，往往比反复重启服务更快找到问题。
用一张表快速对照常见故障
| 症状 | 可能原因 | 验证命令或操作 | 快速处理 |
|---|---|---|---|
| 创建邮箱报“无法连接LDAP” | LDAP服务停止 | systemctl status slapd |
启动服务 |
| 本地测试389通，后台仍失败 | 管理员DN或密码错 | ldapsearch -W |
更新后台凭据 |
| 本地通，远程不通 | 防火墙/安全组拦截 | telnet 外网IP 389 |
放行389 |
| TLS连接失败 | 证书过期或未配置 | openssl s_client -connect ldap:636
|
更新证书 |
| 重启后LDAP无法启动 | 数据库损坏 | 查看journalctl -u slapd |
使用db_recover恢复 |
| Exchange提示找不到域控 | DNS解析错误 | nltest /dsgetdc:域名 |
修复DNS记录 |
减少再次不可用的几个习惯
创建邮箱时LDAP服务器不可用这件事,第一次排查可以靠经验，第二次还出现就是运维漏洞，下面几个习惯成本不高，但能明显降低复发概率。
- 将LDAP服务设置为开机自启动：
systemctl enable slapd。 - 每小时执行一次健康检查：
ldapsearch -x -LLL -s base -b "" namingContexts。 - 对389端口做监控,连接超时立即告警。
- 修改LDAP配置前先备份
/etc/ldap/slapd.d和/var/lib/ldap。 - 不要在生产服务器上随意清理LDAP数据库目录。
- 云服务器安全组规则变更时,同步检查389和636是否被误删。
这些操作不需要额外购买商业监控软件,用系统自带工具和脚本就能完成，创建邮箱时LDAP服务器不可用，本质是目录服务链路中断，只要不跳过基础排查，不盲目重装，恢复速度通常比想象中快。
Q&A
创建邮箱时ldap服务器不可用可以直接重启服务器解决吗？
不建议第一时间重启服务器,重启会让邮件服务、数据库、LDAP一起中断，反而可能放大问题，先确认LDAP服务是否能单独启动，能单独恢复就尽量不重启整机，只有在服务卡死、依赖项异常且无法手动拉起时，重启才是备选方案。
创建邮箱时ldap服务器不可用，本地账户和LDAP账户能并存吗？
可以并存,部分开源邮件系统支持勾选“使用本地账户创建”，不经过LDAP，但这样创建的账号不会出现在集中通讯录里，后续改密码、统一认证也会脱节，临时救急可以，正式使用前应恢复LDAP连接并把账号纳入目录体系。
企业邮箱ldap服务器连接不上，怎样判断是防火墙还是服务故障？
在邮件服务器上测试telnet LDAP内网IP 389，如果连接被拒绝，说明目标主机可达但端口没有监听，优先查LDAP服务是否启动，如果连接超时无响应，说明数据包被丢弃，优先查安全组、系统防火墙或路由，两种现象对应完全不同的排查方向。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/660958.html
