Zertifikate und RADIUS

Moin Leute,

ich benötige ein wenig Input, Ideen und vielleicht Best Practice.

Aktuell ist unsere Infrastruktur fast komplett ohne Zertifikate ausgekommen. Die Ausnahme bilden die Firewall-Zertifikate für VPN und ein Let´s Encrypt für eine Web-Domain. Das war´s denn aber auch.

Mein Ziel ist es für alle internen (Intranet) Web-Dienste, die man via Browser erreichen kann SSL-basierte Verschlüsselung einzuführen. Hinzu kommt auch noch WLAN mit WPA2-Enterprise. Dazu möchte ich gern einen RADIUS-Server auf die Beine stellen und dann darüber die Zertifikate ausrollen. Dieser Part ist nun nicht so schwierig aber bei den Zertifikaten muss man sich dann entscheiden:

• Eigene CA installieren und Zertifikate selber ausstellen
• selbst signierte Zertifikate
• Kommerzielle Zertifikate

Eine eigene CA (online/offline) hat seine Vor- und Nachteile und ich hatte damit bisher keine Berührungen, so dass alles irgendwie "nach Anleitung" installiert werden müsste, was doch einiges an Gefahren mit sich bringt. Selbst signierte Zertifikate finde ich nicht wirklich ideal, daher möchte ich diesen Weg ungern gehen, es sei denn die Vorteile überwiegen deutlich die Nachteile. Kommerzielle Zertifikate gibt es in verschiedenen Ausführungen und Preisen. DV, OV, EV und *-Zertifikate.

Welches wäre hier sinnvoll? Kann ich Intranet Web-Applikationen und WPA2-Enterprise mit nur einem Zertifikat absichern oder doch eher zwei und dann eines als * und für WPA2-E dann ein DV oder OV?