Egor
Да, понял, посмотрю
Мне кажется ещё может быть фишка в том, что учетке, которая туда лезет (учетка для Identity collector) пока не выдали права WMI, которые надо по sk
это не нужно для remote access, тоже у учётки нет прав на WMI, я просто заблочил трафик с SG на 135 порт AD. И работает.
по поводу ldap группы, у меня проблема решилась после того как я каждое правило в котором есть AccessRole добавил в RemoteAccess Community VPN