La porta 636 offre LDAP su TLS implicito (ldaps://). Molte applicazioni come Nextcloud LDAP, SSSD o i mail server preferiscono LDAPS perché non è possibile un downgrade StartTLS. In Active Directory la 636 funziona solo quando il domain controller ha un certificato adatto.
Come la 389: solo interna, aperta solo ai server che interrogano la directory, mai su Internet.
Errori tipici: Can't contact LDAP server (-1) perché il client non si fida della CA – imposta TLS_CACERT in /etc/ldap/ldap.conf – o hostname non corrispondente perché ti colleghi via IP.
Verifica
openssl s_client -connect ldap.esempio.it:636 -showcerts