Как заставить Linux-сервер использовать аутентификацию RADIUS с сертификатом?

Погуглить что-либо, связанное с конфигурацией RADIUS, было адом, так как многие термины смешиваются, делая результаты поиска бесполезными, так что ...

У меня есть сервер RADIUS, предлагающий связь на основе EAP-TTLS с использованием сертификата, подписанного частным ЦС, к которому у меня есть как открытый, так и закрытый ключи. У меня уже есть этот сервер, настроенный для приема запросов с заданного IP-адреса.

Как мне правильно установить открытый ключ CA в такой ящик, чтобы:

• Коробка будет использовать его для проверки того, что сервер RADIUS является тем, кем он является.

• Что сообщение зашифровано

• Ящик не будет доверять никакому другому корневому ЦС для аутентификации пользователей, входящих в ящик.