¿Cómo forzar (correctamente) el uso de SSL o STARTTLS en OpenLDAP?

Question

Logré configurar con éxito mi OpenLDAP (que es una variante de Apple Open Directory, pero eso no debería importar) para que funcione tanto con SSL (ldaps en el puerto 636) como con STARTTLS (en el puerto 389).

Sin embargo, todavía es posible que un cliente se conecte sin ningún tipo de cifrado y estoy intentando desactivarlo. Es cierto que tengo un conocimiento muy limitado de OpenLDAP.

Basado en estoesta respuestayeste tutorial, lo probé con

dn: olcDatabase={1}bdb,cn=config
changetype: modify
add: olcSecurity
olcSecurity: tls=1

Después de aplicar esto a mi ldap, los intentos de conectarme sin STARTTLS fueron rechazados. Sin embargo, ya no pude autenticarme más y obtuve

LDAP: error code 50 - Insufficient Access Rights

El acceso anónimo funciona, pero cuando pruebo la autenticación de un usuario, aparece el mismo error anterior.

Una vez que revierta mis cambios (= elimine la entrada olcSecurity), todo volverá a la normalidad.

Parece que mi cambio afectó la autorización de acceso, pero no entiendo cómo está conectado esto y qué podría estar mal.