ldap同步仅得1000用户本质是客户端未实现分页机制，需在代码中显式设置pagesize与clienttimeout，或升级至支持rfc 2696的工具版本（如imc eia 7.0+），而非优先修改服务端maxpagesize。
ldap查询限制导致ad账号同步不全，本质是客户端未适配服务端的分页机制和超时策略，而非数据本身缺失。关键不在“改服务器”，而在“调客户端行为”——多数情况下，服务端默认策略（如maxpagesize=1000、clienttimeout=120s）合理且不应轻易改动。
明确分页限制不是错误，而是LDAP协议设计
Windows域控制器默认限制单次LDAP查询返回最多1000个对象（可通过dsquery server -o ldif -attr rangeUpper确认）。这不是故障，而是防止DoS和资源耗尽的安全机制。同步工具若未实现分页逻辑，就会截断结果——比如只拉到前1000个用户，后面全部丢失。
- PowerShell中
Get-ADUser -Filter *默认不自动分页，超过1000条即止；应改用-ResultSetSize $null配合-ResultPageSize 500显式启用分页 - 第三方同步工具（如iMC、旧版LDAP连接器）若版本低于支持RFC 2696分页的版本，必须升级——例如iMC EIA 7.0 (E0103P02)起才支持
- 避免使用
*通配符全量扫描，优先按OU=销售部、whenChanged>=20260401000000.0Z等条件缩小范围
主动控制超时与分页参数，不依赖默认值
网络延迟或DC负载高时，120秒超时极易触发timeLimitExceeded，导致查询中断。必须在代码或脚本中显式设置超时和分页大小。
- PowerShell示例：
$searcher = New-Object System.DirectoryServices.DirectorySearcher$searcher.ClientTimeout = [TimeSpan]::FromMinutes(5)$searcher.PageSize = 1000 - .NET应用中，
DirectorySearcher.ServerTimeLimit和ClientTimeout都需赋值，不可留空 - 命令行工具如
ldp.exe不支持配置超时，建议替换为dsquery或PowerShell脚本
验证是否真由LDAP限制引起
别只看“同步失败”就直接调参。先确认问题根源：
- 用
ldp.exe连接DC，勾选Options → Perform Queries Using Simple Paged Results，手动设页大小为500/1000/2000测试是否稳定返回 - 抓包过滤
tcp.port == 389，观察响应中是否有sizeLimitExceeded（分页超限）或timeLimitExceeded（超时） - 检查事件查看器：
Applications and Services Logs → Directory Service → Debug，搜索LDAP client exceeded page limit类日志
服务端调整仅作最后手段，且须严格评估
仅当所有客户端无法改造（如老旧闭源系统），才考虑微调DC策略，且必须逐台操作、监控影响：
- 用
ntdsutil进入ldap policies，执行set maxpagesize to 5000（不建议超过5000） - 修改后必须运行
commit changes并重启NTDS服务生效 - 同步前确认
MaxPoolThreads和内存足够，否则可能引发ATQ线程池耗尽，连Kerberos认证都变慢
