[sisyphus] LDAP грабли

[Artem]

Имеется небольшой ldap-серверок. Установлен sysyphus. OpenLDAP 2.1.30-alt3
Все настроено и работает отлично, грабли возникают при переходе на TLS -
соединения с ним.
Имеются сертификаты ca.cert, ldap.cert и ldap.key. ldap.cert  подписан,
естеснно, ca.cert
Все скинуто в /etc/openldap/ssl , на эти же файлы указывают параметры в
slapd.conf

Cтартую - все ок (за небольшим исключением, об этом позже).
LDAP слушает на 389-м:
tcp        0      0 0.0.0.0:389             0.0.0.0:*
LISTEN      3927/slapd

Пробуем соединиться:
ldapsearch -h 172.16.10.70 -D "cn=admin,dc=axis,dc=ces" -W -Z

В ответ:
ldap_start_tls: Connect error (91)
ldap_sasl_interactive_bind_s: Can't contact LDAP server (81)

Из gq - то же самое..

Теперь - другое. Несмотря на параметр в /etc/sysconfig/ldap
SLAPDURLLIST="ldap:/// ldaps:///"

и вывод ps:
ldap      3927  0.0  1.3 11420 3452 ?        S    14:52   0:00
/usr/sbin/slapd -u ldap -r /var/lib/ldap -h ldap:/// ldaps:///

netstat показывает вот что:
[root на axis sysconfig]# netstat -ltnp
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address
State       PID/Program name
.....
tcp        0      0 0.0.0.0:389             0.0.0.0:*
LISTEN      3927/slapd
......
А 636 - го порта нигде не видно (ldaps:///)
Но если запускать из командной строки вроде:
slapd -h "ldap:/// ldaps:///" - то все ок...

Вопросы:
Что за грабли с TLS и как мне засекурить коннект?
Почему такое странное поведение с параметрами -h ?