<div dir="ltr">Just to be clear, are you load balancing LDAP servers or you are making LDAP/LDAPS requests to Active Directory servers?<div><br></div><div>With AD, you should not be load balancing domain controllers due to the stickiness nature. With 2008 there were GPOs introduced to improve client DC fail-over and fall-back for clients. This would be a good addition to SSSD in the future to use the new GPOs: </div><div><br></div><div><a href="http://www.windowsnetworking.com/kbase/WindowsTips/WindowsServer2008/AdminTips/ActiveDirectory/HowdoesWindowsServer2008resolvesDomainControllerLoadBalancingproblems.html">http://www.windowsnetworking.com/kbase/WindowsTips/WindowsServer2008/AdminTips/ActiveDirectory/HowdoesWindowsServer2008resolvesDomainControllerLoadBalancingproblems.html</a><br></div><div><br></div><div><span style="color:rgb(102,103,102);font-family:Arial,&#39;Nimbus Sans L&#39;,sans-serif;font-size:12px;line-height:15.600000381469727px">Location: Administrative Templates\System\Net Logon\DC Locator DNS Records\ Entry Name: Force Rediscovery Interval.</span><br></div><div><br></div><div>If it is only LDAP, you may want to provide more details regarding your LB setup, whether there is stickiness, etc. in your config.</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Jun 23, 2015 at 10:52 AM, Janelle <span dir="ltr">&lt;<a href="mailto:janellenicole80@gmail.com" target="_blank">janellenicole80@gmail.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On 6/23/15 7:33 AM, John Hodrien wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
On Tue, 23 Jun 2015, Janelle wrote:<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Servers are behind a load-balancer. Address never changes.<br>
</blockquote>
<br>
But one problem with that is that SSSD will see multiple servers as one<br>
server, and so will mark the server as failed if the load balancer presents it<br>
with a broken back end server.<br>
<br>
Works much better in my experience when you tell SSSD about all the servers.<br>
<br>
jh<br>
</blockquote></span>
Sadly that is not possible.  If SSSD did load balancing when given multiple servers, then yes, but it does not. When you are running 30,000 servers with 3000 users, you have to load balance or SSSD simply dies and an ssh login takes 5 minutes to complete.  The only way to make SSSD happy and not kill the single server it would point to is to have multiple servers behind a VIP.  Am I completely off base to think this is the way to go? Can SSSD be taught to actually load balance?<span class="HOEnZb"><font color="#888888"><br>
<br>
~J</font></span><div class="HOEnZb"><div class="h5"><br>
_______________________________________________<br>
sssd-users mailing list<br>
<a href="mailto:sssd-users@lists.fedorahosted.org" target="_blank">sssd-users@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/sssd-users" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/sssd-users</a><br>
</div></div></blockquote></div><br></div>