Port 636 bietet LDAP über implizites TLS (ldaps://). Viele Anwendungen wie Nextcloud LDAP, SSSD oder Mailserver bevorzugen LDAPS, weil kein StartTLS-Downgrade möglich ist. In Active Directory steht 636 erst zur Verfügung, wenn der Domain Controller ein passendes Zertifikat hat.
Wie Port 389: nur intern bzw. nur für die anfragenden Server freigeben, nie ins Internet.
Typische Fehler: Can't contact LDAP server (-1), weil der Client der CA nicht vertraut – in /etc/ldap/ldap.conf TLS_CACERT setzen – oder der Hostname nicht zum Zertifikat passt, weil per IP verbunden wird.
Prüfen
openssl s_client -connect ldap.beispiel.de:636 -showcerts