Kerio Connect + LDAP (добавление пользователей)

[EnMan]

Добрый день, коллеги.

Сервер с Connect последний билд на CentOS в далеком зарубежном ДЦ, контроллер домена в ДЦ в РФ между ними пинг ~40 msec и очень_преочень_толстый_канал_связи. Настраиваем LDAP. В настройках домена вводим учетные данные и успешно проходим тест подключения к контроллеру домена. Но при добавлении пользователя домена для активации его в Connect - листинг пользователей домена, сука такая, отваливается с формулировкой "сервер недоступен". Естественно он доступен, естественно я вижу бегающие байтики по LDAP при обращении со стороны контроллера домена и LDAP запросы в дебаг-логе Connect. Листинг и активация групп проходит нормально, т.е. это проблема не настройки LDAP.

Сморщил ум, прикрутил Kerberos (в порядке бреда, да и нужен будет все равно позже) - ноль на массу. Полез в конфиг, сделал поуже условия поиска пользователей - пользователи прочлись в конкретном OU. Т.е. это таймаут какой то, но какой, как поправить?

Домен, безусловно, не маленький, но до миллиона объектов мне далеко, не до такой же степени.

No. Of Users 951
Inactive Users 278
Disabled Users 145
Locked Out Users 0
Password Expired Users 38

Помогите советом, где поковырять скальпелем? Я так понимаю без грубого вмешательства в конфиги не пролезет. Вопрос - где ковырять?

P.S. Поручики, по поводу гонять Kerberos и LDAP по глобальным сетям - не нада, я знаю. Там все хорошо.

[Ant]

1. мысль, что у нас с днс?
Контроллер домена и эти плюшки требовательны к тому чтобы резолвилось прям всё что нужно.
2. Что у нас с часовыми поясами, время везде должно быть идентично.
3. А может впн между тем сервером поднять и офисом, плюс роутинг запилить чтобы видели себя словно в локалке?

[EnMan]

Ant, точно читал условия задачи? Листинг не работает и работает только если условия листинга сделать уже. Это однозначный таймаут.

Плюс Kerberos работает, т.е. там точно все резолвится что нужно.

[Ant]

Да дело в том что таймауты там конские по умолчанию насколько я понимаю:
[Для просмотра данной ссылки нужно зарегистрироваться]

Скорее трудно не уложиться.
Единственно, а контроллер домена я так понимаю прячется за фаерволом, если там керио какой, то погасить для него протокол инспектор выведя порты общения с дц отдельным правилом пробовали?

[EnMan]

Саппорт ответил, что это браузера таймаут. Даже не LDAP клиента. Вот так вот ((((

[tihon_one]

активировать пользователей можно из KADE.