IKEv2 Client-to-Site mit Windows NPS Server

[Lancom2011]

Hallo Kollegen,

jetzt arbeite ich doch schon einige Jahre mit LANCOMs, bekomme es aber nicht hin eine IKEv2 Einwahlverbindung, die gegen den AD-Account geprüft wird zu konfigurieren.
User WPA2-Enterprise Infrastruktur läuft problemlos mit NPS+LANCOM WLAN Controller.
IKEv2-Einwahlverbindungen ohne RADIUS sind kein Problem.
Der Router spricht sogar mit dem NPS Server, wenn ich an diesem nämlich alle Benutzer erlaube, die über meinen Router reinkommen, dann klappt die Verbindung.

Eventuell habe ich aber auch eine grundsätzliches Verständnisproblem:
Am Advanced VPN-Client werde ich beim Verbindungsaufbau nur nach Credentials gefragt, wenn ich die IKEv2-Authentisierung auf EAP stelle. Dann versucht der Router es allerdings gar nicht mit dem NPS zu sprechen, da er den Peer nicht erkennt.
Wenn ich mich mit PSK authentifiziere fragt der Router den NPS gibt aber wohl die Peer-ID+PSK als Credentials weiter, was dieser ablehnt (Ausnahme siehe oben)
Kann es mit Zertifikaten funktionieren?


Ziel wäre Folgendes:
Einwahl und Verschlüsselung der VPN mit PSK, aber zusätzlich Authentifizierung mit den Windows Credentials (ähnlich IKEv1+XAUTH).
Geht das überhaupt?

Vielen Dank für Vorschläge.