Vlan und MultiSSID für mehrere getrennte WLans

Hallo,

ich hoffe das ist nun nicht Overkill.

Ich habe ein Netz, welches an einer Linux Firewall hängt.
Dieses hat kein VLAN-Tag und es hängt ein WLan darin, welches sich über Radius gegenüber dem Server identifiziert.

Ich muss nun ein Gast-Netz aufbauen, das Problem ist jedoch dass die Radius-Authentifizierung nur für Geräte im AD gilt, also "bekannte" Geräte.

Nun gibt es an der Firewall eine 2. Netzwerkschnittstelle auf der 3 Vlans laufen für W-Lan mit verschiedenen Sicherheiten.

Nun zu meinem Plan:

das 1. Wlan bleibt unberührt da es für die internen Geräte der leichteste Weg ist.

Ich Verbinde die 2. Netzwerkschnittstelle der Firewall mit meinem Switch und setzte den Port am Switch in den Trunk Mode.
Die Ports an denen die APs hängen setze ich auch alle in den Trunk-Mode so dass alle Vlans auf die APs kommen, auch mein ungetaggtes in dem Fall.

Dann setzte ich die Multi-SSID Multi-Vlan Funktion meiner APs ein um die vorgesehen Gäste-Wlans des 2. Netzwerkports anzuzeigen.

Habe ich einen Denkfehler oder ist das so Umsetzbar ?

Ich hoffe die Frage ist im richtigen Forum.
Sollte es noch Vorstellungsschwierigkeiten geben kann ich auch eine kleine Skizze anfertigen.

Grüße, Robert.