[fomin_]

1. По поводу сертификатов - надо выбирать "на компьютер" и тип сертификата "RAS and IAS servers".
2. Насколько я понимаю, компы обязательно должны быть в домене, если Вы используете именно IAS в качестве радиус сервера. Более того, тк радиус аутентификация проходит в 2 этапа - сначала для компьютера, затем юзера, то в AD надо создать группу, куда поместить все объекты типа юзер и компьютер, которым разрешено аутентифицироваться и очень желательно создать резервный радиус сервер, иначе при неработоспособности основного, у вас вообще никто не сможет залогиниться.