Zwei Subnetze mit unterschiedlichen Rechten

[Kochi]

Hallo Leute,

folgende Situation gibt mit zudenken:

Ich benutze einen LANCOM Wireless L-305agn und habe zwei WLANs mit unterschiedlichen Subnetzen angelegt. Dabei handelt es sich bei dem einen Subnetz bzw. WLAN um ein solches, dass Schulungsteilnehmer sich dort mithilfe eines PSK-Schlüssels und einer WPA2-Verschlüsselung anmelden und ausschließlich einen Internetzugang bekommen sollen und zum anderen um ein WLAN für firmeninterne Mitarbeiter, die sich mit ihrem Domain-Account authentifizieren.
Dabei soll die firmeninterne Firewall anhand der Subnetze entscheiden, welche angemeldeten User nur einen Internetzugang bekommen sollen und welche interne Ressourcen nutzen dürfen.

Meine Fragen dazu sind nun folgende:

Ist es besser, anhand von VLANs bereits auf dem Access Point die Subnetze zu trennen, oder aber erst auf der Firewall? Welche Methode ist einfacher realisierbar? Wie kann ich das realisieren? Wie kann ich die Zertifikats-Verteilung regeln?

Anmerkungen:

Der Access Point ist bereits grundkonfiguriert.
Die Firewall ist bereits vorhanden und schon längere Zeit in Verwendung.
Der Access Point ist direkt mit der Firewall über ein RJ45-Kabel verbunden.
Das Zertifikat ist bereits für anderen Sachen in Verwendung und noch gültig.

Es wäre super, wenn ihr mir dabei weiterhelfen könntet.
Ich bedanke mich im Voraus!

Liebe Grüße