WLAN mit Zertifikaten über Freeradius

Hallo,

ich habe mal eine spezielle Frage:
Ist es möglich Freeradius so zu konfigurieren, dass ich folgendes erreichen kann:

Bei mir läuft je Standort freeradius auf einer pfsense. (Insgesamt 60 Stück)
Meine Accesspoints haben WPA Enterprise aktiviert und nutzen den jeweiligen freeradius vor Ort zur Authentifizierung.

Ich habe eine selbstsignierte CA.
Für jeden PC/Laptop gibt es ein Zertifikat, dass von meiner CA ausgestellt wurde.

Ich möchte nun das alle PCs/Laptops mit einem gültigen Zertifikat Zugriff zum WLAN bekommen (egal welcher Standort), ohne das ich in jedem Radius-Server die MAC- oder Userliste pflegen muss. (Eventuell reicht ein Userkonto für alle oder so ähnlich)
Einfach nach dem Motto - wenn gültiges Zertifikat - dann Zugriff zum WLAN.
Sollte ein Gerät einmal entfernt werden müssen, so sollte es reichen, wenn ich die CRL anpasse.
Ich möchte auch nicht einen zentralen Radius-Server nutzen, weil die Leute dann nur ins WLAN kommen, wenn eine Internetverbindung zur Zentrale besteht (das ist nicht immer gegeben) -- wäre aber die aktuell letzte Alternative.

Bisher schaffe ich es immer nur, zwar die Zertifkate in Windows zu hinterlegen, aber man kommt auch ins WLAN ohne ein Zertifikat eingestellt zu haben.

Hat jemand so etwas schon einmal umgesetzt? Ist das überhaupt möglich?