<div dir="ltr"><div dir="ltr"><div class="gmail_default" style="font-family:verdana,sans-serif"><span style="font-family:Arial,Helvetica,sans-serif">On Mon, Jun 20, 2022 at 2:55 PM Steven Teixeira <<a href="mailto:steixeira@csustan.edu">steixeira@csustan.edu</a>> wrote:</span><br></div></div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">





<div lang="EN-US" style="overflow-wrap: break-word;">
<div class="gmail-m_-8156429653548401822WordSection1">
<p class="MsoNormal">We recently changed our idp.authn.LDAP.ldapURL value from a single DNS round robin entry to multiple servers, separated by space.  As below:<br>
idp.authn.LDAP.ldapURL = ldaps://<a href="http://server1.example.org" target="_blank">server1.example.org</a> ldaps://<a href="http://server2.example.org" target="_blank">server2.example.org</a> ldaps://<a href="http://server3.example.org" target="_blank">server3.example.org</a> ldaps://<a href="http://server4.example.org" target="_blank">server4.example.org</a><u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<p class="MsoNormal">idp.attribute.resolver.LDAP.ldapURL is set as below:<br>
idp.attribute.resolver.LDAP.ldapURL = %{idp.authn.LDAP.ldapURL}<br>
<br>
During testing of this change, the failover behavior was as expected.  Authentication was immediate when server1 was up.  After powering down server1, authentication took 3 seconds longer(the timeout value).  After powering down server2, with server 1 still
 powered off, authentication took 6 seconds longer(3 seconds per server).  This continued through server 4.  So we believed this to be working.  However, last week, it became clear that authentication was happening primarily on server4, the last entry in the
 space delimited list.  Further, when server4 was unreachable, the IdP didn’t even try to authenticate against any of the other LDAP servers listed.<u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<p class="MsoNormal">The lines for idp.authn.LDAP.connectionStrategy and idp.attribute.resolver.LDAP.connectionStrategy are as follows:<br>
#idp.authn.LDAP.connectionStrategy = ACTIVE_PASSIVE<u></u><u></u></p>
<p class="MsoNormal">idp.attribute.resolver.LDAP.connectionStrategy = %{idp.authn.LDAP.connectionStrategy:ACTIVE_PASSIVE}<u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<p class="MsoNormal">So, our impression is that ACTIVE_PASSIVE is the current setting since it should be the default value.  Has anyone else run into behavior like this, or did I just miss something obvious?</p></div></div></blockquote><div><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">What version of the IDP are you running? There was a bug that caused that behavior if no connectionStrategy was configured. Explicitly setting `idp.authn.LDAP.connectionStrategy` or running the latest version of the IDP should fix this issue.</div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">--Daniel Fisher</div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div></div></div>