Server - Client Verbindungen mit IPSEC Verschlüsseln

Hallo Zusammen,

ich habe ein kleines Problem mit der IPSEC Verschlüsselung zwischen meinen Servern und Clients.

Clients: Windows 8.1
Server: Server 2012 R2

Ich habe über GPO´s eine "Connection Security Rule" erstellt.
- Require Inbound and Request Outbound (Any Protocols, Any Endpoint)
- Authentication - Advanced (First Authentication Computer Certificate; Second Authentication User Certificate)
- Firewall with Advanced Security - IPSEC Settings (First Authentication Computer Certificate; Second Authentication User Certificate)

Wenn ich diese GPO an meine Server (Bsp. Fileserver) und Clients verteile funktioniert das auch alles bestens.
Wenn ich diese GPO jetzt zusätzlich auch an meinen PKI Server verteile (mit der Anpassung, dass die "Second Authentication" optinal ist) funktioniert das nicht mehr da ein neuer Client sich kein Zertifikat ziehen kann, da dieser ja nicht mit einem Zertifikat verschlüsselt ankommt (Henne - EI Problem).

Wenn ich dem Client jetzt jedoch ein Computer Zertifikat mit Public Key importiere, zieht dieser sich wieder erfolgreich ein Computerzertifikat.
Jedoch erhällt der Benutzer kein User Zertifikat?

Mach ich hier einen Denkfehler?

Anschließend hätte ich auch noch die Frage wie ich diese GPO für meine Domain Controller anpassen muss, damit auch dieser Verkehr Verschlüsselt wird.