ldaps не работает с ldapsearch

Я запускаю ldapsearch для сервера Active Directory,

с протоколом ldap работает:

ldapsearch -h IP -p 389 -b 'DC=testnet,DC=com' -D 'CN=admin,CN=Users,DC=testnet,DC=com' -w 'XX'

с протоколом ldaps это не удается:

ldapsearch -H ldaps://10.10.10.20:636 -b 'DC=testnet,DC=com' -D 'CN=admin,CN=Users,DC=testnet,DC=com' -w 'XXX'

вывод страйса:
connect(3, {sa_family=AF_INET, sin_port=htons(636), sin_addr=inet_addr("10.10.10.20")}, 16) = 0
ldap_sasl_bind(SIMPLE): Не удается связаться с сервером LDAP (-1)

Из nmap открыты и 389 и 636 порты, что не так?

РЕДАКТИРОВАТЬ

Сертификат доступен на порту 636:

# openssl s_client -connect 10.10.10.20:636 -showcerts
ПОДКЛЮЧЕН(00000003)
Невозможно использовать SSL_get_servername
глубина = 0 CN = DC-01.testnet.com
ошибка подтверждения: число = 20: невозможно получить сертификат локального эмитента
проверить возврат: 1
глубина = 0 CN = DC-01.testnet.com
ошибка проверки: число = 21: невозможно проверить первый сертификат
проверить возврат: 1
---
Цепочка сертификатов
 0 с:CN = DC-01.testnet.com
   i: DC = com, DC = тестовая сеть, CN = тестовая сеть-SRV1-CA
...