WLAN Zertifikat muss von der gleichen CA. ausgestellt sein wie NPS Zertifikat

Hallo zusammen,

ich habe hier ein merkwürdiges Verhalten mit IOS Geräten in Verbindung mit Radius Authentifizierung.
Vielleicht hat das der eine oder der andere schon gehabt und kann was dazu sagen.

Wir haben folgende (neue) CA-Infrastruktur

Root CA -> ( mehrere) Sub-CAs -> Zertifikate
Zertifikate werden über JAMF verteilt, Radius Server ist Windows Server 2022, issuing Sub-CA ist eine domainintegrierte CA mit Windows Server 2022, IOS Geräte sind auf dem aktuellsten Stand.

CRLs sind von allen Zertifikaten und CA Zertifikaten richtig hinterlegt und werden von den Geräten auch erreicht. Auch aus dem Internet.

Wenn das Zertifikat vom NPS Server von der gleichen Sub-CA ausgestellt ist wie die WLAN Zertifikate funktioniert die Anmeldung problemlos, wenn das NPS Zertifikat von einer anderen Sub-CA ausgestellt ist, Root-CA ist wohlgemerkt die selbe, funktioniert es nicht, es gibt keine Meldung auf dem NPS Server, Iphone verweigert einfach die Authentifizierung.

Ich kann mir das Verhalten nicht erklären, NPS Zertifikat ist bei beiden Fällen auf dem Gerät.
Vielleicht kennt jemand dieses Verhalten und kann es erklären?
Bonusfrage: Gibt es irgendwelche Logs die man aus dem IPhone auslesen kann und wenn ja wie kann man die auslesen?

Viele Grüße