Zimbra + Zentyal AD, авторизация только пользователей из группы

Товарищи, уже неделю сражаюсь с монстрами Zentyal и Zimbra, начинаю седеть. Сейчас пытаюсь сделать так чтобы zimbra авторизировала только пользователей из группы mail. Но на любые фильтры ей пофиг. Что я делаю:
-Ставлю чистый zentyal 5
-Создаю в нём домен mydomen.ru
-Ставлю Zimbra-8.8.3_GA делаю в ней такой же домен
В принципе всё начинает работать, почта ходит.
-В Zimbra переключаю тип авторизации домена на внешний AD
-Указываю IP, логины-пароли, жму «тест», всё ОК
Далее нужно правильно настроить LDAP search base и LDAP filter и вот тут загвоздка - чтобы я туда не вписал, хоть полную ерунду кириллицей, пользователь созданный в AD спокойно авторизируется (при условии что создан в зимбре) независимо от группы. в нете я находил разные конструкции вроде (&(|(objectclass=inetOrgPerson))(|(memberof=cn=mail,{Default Groups DN in Zentyal}))(uid=%u)), но вписывать их туда бесполезно, притом авторизация точно идёт через AD так как при создании пользователя в zimbra, пароля я не указываю, и могу его менять, да и вовсе отключать пользователя через zentyal. В общем чё делать то, где я косячу?