.

Si tu as une CA d'entreprise (au sens windows, donc pas standalone), la CA est normalement publiée par l'AD et les clients l'ont.
Du coup suffit que les clients qui sont en filaire avant soient connecté pour qu'ils chopent le certificat.
 
Sinon tu peux utiliser un certificat connu dès le départ par tous les clients en achetant un certificat de ce type (verisign, thawte, Global Sign, Geo Trust and co)

.

Il n'y a pas une option sur le client pour "ne pas vérifier le certificat du serveur" ?

.

Je sais que niveau sécu ça la baisse mais pour une premiere connexion le temps de récupérer le certificat ça peut être une bonne solution.
 
Après je n'ai pas en tête les protocoles mais le serveur radius est spécifié sur le point d'accès, le client ne fait qu'envoyer les données à l'AP donc les risques de se faire passer pour le serveur radius est normalement minime (si le serveur radius se trouve bien entendu sur un réseau sécurisé)

.

Logiquement, les clients n'ont pas accès à ces serveurs.

.