WLAN Zertifikat muss von der gleichen CA ausgestellt sein wie NPS Zertifikat

Hallo zusammen,

ich habe hier ein merkwürdiges Verhalten mit IOS Geräten in Verbindung mit Radius Authentifizierung.
Vielleicht hat das der eine oder der andere schon gehabt und kann was dazu sagen.

Wir haben folgende (neue) CA-Infrastruktur

Root CA -> ( mehrere) Sub-CAs -> Zertifikate
Zertifikate werden über JAMF verteilt, Radius Server ist Windows Server 2022, issuing Sub-CA ist eine domainintegrierte CA mit Windows Server 2022, IOS Geräte sind auf dem aktuellsten Stand.

CRLs sind von allen Zertifikaten und CA Zertifikaten richtig hinterlegt und werden von den Geräten auch erreicht. Auch aus dem Internet.

Wenn das Zertifikat vom NPS Server von der gleichen Sub-CA ausgestellt ist wie die WLAN Zertifikate funktioniert die Anmeldung problemlos, wenn das NPS Zertifikat von einer anderen Sub-CA ausgestellt ist, Root-CA ist wohlgemerkt die selbe, funktioniert es nicht, es gibt keine Meldung auf dem NPS Server, Iphone verweigert einfach die Authentifizierung.

Ich kann mir das Verhalten nicht erklären, NPS Zertifikat ist bei beiden Fällen auf dem Gerät.
Vielleicht kennt jemand dieses Verhalten und kann es erklären?
Bonusfrage: Gibt es irgendwelche Logs die man aus dem IPhone auslesen kann und wenn ja wie kann man die auslesen?

Viele Grüße

Vertrauen:

    * Vertrauenswürdige Zertifikate: Wenn das untergeordnete Zertifikat des RADIUS-Servers in einer Zertifikate-Payload im selben Profil bereitgestellt wird, das die 802.1X-Konfiguration enthält, kann der Administrator sie dort auswählen. Auf diese Weise wird der anfordernde Client so konfiguriert, dass er nur die Verbindung zu einem 802.1X-Netzwerk mit einem RADIUS-Server herstellt, der sich durch eines der in der Liste enthaltenen Zertifikate ausweist. Bei einer solchen Konfiguration wird die 802.1X-Verbindung kryptografisch an bestimmte Zertifikat angeheftet.

    * Vertrauenswürdige Serverzertifikat-Namen: Mit diesem Array kann das anfordernde Gerät so konfiguriert werden, dass es nur die Verbindung zu einem RADIUS-Server herstellt, der sich durch ein Zertifikat ausweist, dessen Name mit einem der aufgelisteten Namen übereinstimmt. In diesem Feld sind Platzhalterzeichen zulässig. Beispiel: Bei Eingabe von „*.betterbag.com“ wird „radius1.betterbag.com“ oder „radius2.betterbag.com“ als CN (Common Name) des Zertifikats erwartet. Platzhalterzeichen bieten Administratoren mehr Flexibilität, wenn Änderungen an verfügbaren RADIUS- oder Zertifizierungsinstanz-Servern auftreten.