Also diese Zertifikate können einen ja echt bekloppt machen … 
Ich habe für das interne Netz (aus diversen Gründen) einen FQDN gewählt, der auch extern auflösbar ist. Von daher habe ich auch ein LE-Zertifikat, das auf meinen Server ausgestellt werden konnte. Im LAN funktioniert das: https://server.linuxmuster.meine-schule.de liefert eine gesicherte Verbindung („grünes Schloss“)
Die Verbindung klappt, ich bekomme ein Zertifikat, das aber wesentlich kürzer als das LE-Zert ist. Nun habe ich in die smb.conf geschaut und siehe da:
tls keyfile = /etc/linuxmuster/ssl/server.key.pem
tls certfile = /etc/linuxmuster/ssl/server.cert.pem
tls cafile = /etc/linuxmuster/ssl/cacert.pemDas sind also scheinbar alles die selbst erzeugten Zertifikate, die beim Setup erzeugt wurden!?!
Eigentlich gehört dieser Thread ab #13 ans Ende von Nochmal ldaps -- Abfragen auf Port 636 und 3269 (HowTo) - #4 von Michael
Irgendwas ist da durcheinander geraten…