O cliente LDAP pode se conectar ao host LDAP, mas não pode ver usuários LDAP

Question

Estou configurando o LDAP em um cluster de máquinas Ubuntu 14.04.

Eu configurei com êxito o host LDAP usando estas instruções . Agora estou tentando fazer com que um cliente LDAP funcione usando estas instruções .

O ldapsearch funciona do cliente (por exemplo, eu posso fazer ldapsearch -x -LLL -h REDACTED -D REDACTED -w REDACTED -b REDACTED da máquina cliente e obter exatamente os resultados que eu esperaria).

No entanto, a máquina cliente não vê os usuários LDAP (ou seja, getent passwd não exibe nenhum usuário LDAP, sudo su - LDAP_USERNAME na máquina cliente retorna No passwd entry for user erro, ssh LDAP_USERNAME@LDAP_CLIENT obtém Permission denied error).

Arquivos relevantes:

/etc/nsswitch.conf

passwd:         ldap compat
group:          ldap compat
shadow:         ldap compat

hosts:          files dns
networks:       files

protocols:      db files
services:       db files
ethers:         db files
rpc:            db files

netgroup: nis

/etc/pam.d/common-session

session [default=1]                     pam_permit.so

session requisite                       pam_deny.so

session required                        pam_permit.so

session optional                        pam_umask.so

session required                        pam_mkhomedir.so umask=0022 skel=/etc/skel
session required        pam_unix.so
session optional                        pam_ldap.so
session optional        pam_systemd.so

/etc/pam.d/common-auth

auth    [success=2 default=ignore]      pam_unix.so nullok_secure
auth    [success=1 default=ignore]      pam_ldap.so use_first_pass

auth    requisite                       pam_deny.so

auth    required                        pam_permit.so

auth    optional                        pam_cap.so

/etc/pam.d/common-account

account [success=2 new_authtok_reqd=done default=ignore]        pam_unix.so
account [success=1 default=ignore]      pam_ldap.so

account requisite                       pam_deny.so

account required    

/etc/pam.d/common-password

password        [success=2 default=ignore]      pam_unix.so obscure sha512
password        [success=1 user_unknown=ignore default=die]     pam_ldap.so use_authtok     try_first_pass

password        requisite                       pam_deny.so

password        required    

Alguma idéia do que poderia ser o culpado desse problema? Se essa informação estiver incompleta, sinta-se à vontade para solicitar qualquer contexto adicional que possa ser relevante. Qualquer ajuda seria muito apreciada.

EDITAR: Eu vejo o seguinte em /var/log/auth.log na máquina do cliente.

Feb 20 11:19:31 REDACTED nscd: nss_ldap: failed to bind to LDAP server ldap:///REDACTED: Invalid credentials
Feb 20 11:19:31 REDACTED nscd: nss_ldap: reconnecting to LDAP server...
Feb 20 11:19:31 REDACTED nscd: nss_ldap: failed to bind to LDAP server ldap:///REDACTED: Invalid credentials
Feb 20 11:19:31 REDACTED nscd: nss_ldap: reconnecting to LDAP server (sleeping 1 seconds)...
Feb 20 11:19:32 REDACTED nscd: nss_ldap: failed to bind to LDAP server ldap:///REDACTED: Invalid credentials
Feb 20 11:19:32 REDACTED nscd: nss_ldap: could not search LDAP server - Server is unavailable
Feb 20 11:19:42 REDACTED nscd: nss_ldap: failed to bind to LDAP server ldap:///REDACTED: Invalid credentials
Feb 20 11:19:42 REDACTED nscd: nss_ldap: reconnecting to LDAP server...
Feb 20 11:19:42 REDACTED nscd: nss_ldap: failed to bind to LDAP server ldap:///REDACTED: Invalid credentials
Feb 20 11:19:42 REDACTED nscd: nss_ldap: reconnecting to LDAP server (sleeping 1 seconds)...
Feb 20 11:19:43 REDACTED nscd: nss_ldap: failed to bind to LDAP server ldap:///REDACTED: Invalid credentials
Feb 20 11:19:43 REDACTED nscd: nss_ldap: could not search LDAP server - Server is unavailable

E, para reiterar, posso me conectar ao host LDAP por meio do cliente LDAP com o ldapsearch usando exatamente a mesma senha que está em /etc/ldap.secret

EDIT 2: Eu tentei mudar o servidor host na chance de que fosse algum problema de firewall (embora eu não sei porque o ldapsearch funcionaria nesse caso). O mesmo problema exato.