<div dir="ltr"><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Mar 7, 2017 at 4:38 PM, Travis Mercier <span dir="ltr"><<a href="mailto:tmercier@csusm.edu" target="_blank">tmercier@csusm.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div id=":1vr" class="a3s aXjCH m15aab5afff798ed3">2017-02-17 08:49:52,349 -<br>
DEBUG [net.shibboleth.idp.authn.<wbr>impl.<wbr>ValidateUsernamePasswordAgains<wbr>tLDAP:131] -<br>
Profile Action ValidateUsernamePasswordAgains<wbr>tLDAP: Attempting to authenticate user [useraccount]<br>
<br>
User sees this page after a long timeout:<br>
(trying several time does not help)<br>
<br>
"Internal Server Error<br>
<br>
The server encountered an internal error or misconfiguration and was unable to complete your request.<br>
<br>
Please contact the server administrator at root@localhost to inform them of the time this error occurred, and the actions you performed just before this error.<br>
<br>
More information about this error may be available in the server error log."<br>
<br>
Our OpenLDAP version is 2.4.40, and our IDP is running 3.2.1.<br>
<br>
Let me know if you have any suggestions, or another way to troubleshoot this.</div></blockquote></div><br>From the above, I gather you're fronting the IdP with an Apache web server?  The first thing I'd do to troubleshoot is to increase the proxy request timeout so that you can see what is presented to the user.  If there are no further logs in the process log after the debug line you showed, then I assume the IdP is aborting on a lost connection.  (To be honest, I'm not sure if it does that or not.)  Well, the first thing I might do is turn the ldaptive logs to DEBUG, too.</div><div class="gmail_extra"><br></div><div class="gmail_extra">What you've left out is what OpenLDAP is saying during this.  Is OpenLDAP logging dropped connections?  Is it logging anything on the connections from the IdP?  Does your connection to the LDAP server go through your firewall?  If so, does it drop what it views as idle connections?</div><div class="gmail_extra"><br></div><div class="gmail_extra">You've got your validatePeriod set to 5 minutes.  Are you willing to wait 5 minutes to find out if a connection is no longer operational?  I'd consider validateOnCheckout, as well.  At the very least, it should make dying connections obvious more quickly in the logs.</div><div class="gmail_extra"><br></div><div class="gmail_extra">(After I went through a week or so of trying to recreate weird timeouts and hunt them down, finally getting to the point of blaming ldaptive and the connection pooling, etc., I ended up finding that I had a corrupt HDB database.  We scheduled emergency maintenance, moved to MDB, and that solved our particular problem.  But, purely guessing based on the limited info, I'd guess that you have stale connections.)</div><div class="gmail_extra"><br></div><div class="gmail_extra">Greg</div></div>