想請問一下學長們，不知我這樣構思的設計有無問題

環境：Fortigate 60 一台
Cisco 2950 12port 一台
Edimax BR-6504n 四台
31（四層樓）、38號（一層樓）共二間辦公司

現在想這樣設計
38號1F：Cisco 2950 (Port1, Vlan2) -> AP1
38號1F：Cisco 2950 (Port11, Vlan3) -> AP2
31號1F、3F：Cisco 2950 (Port2, Vlan2) -> 一般5 Port Switch -> AP3、AP4
Cisco 2950 (Port12, Vlan1, Vlan 2, Vlan3 802.1Q Trunk - Nonnegotiate, Management VLAN in Vlan1) -> Fortigate 60

Vlan 1拿來做Management Vlan的介面
Vlan 2拿來做公司內的Wireless，並準備走802.1x驗證（IAS在內網）
Vlan 3拿來做Guest 訪客用的無線網路

Q1：想這樣做是想將管理VLAN和無線網路的分開，提高安全性。不知這個想法對嗎？
Q2：另外在31號透過一台一般的5Port Switch來分接，這樣會不會影響到AP3 and AP4連接到到VLAN2的網路？
Q3：我想將AP2拿來做Guest Wireless用，所以多切了一個Vlan3給他用，最後用Fortigate 60來管理三個Vlan到內網和外網的流量
這樣的設計ok嗎？

贊助商連結

Dear JoyChen:
這樣的構想很好 ,不過如要提升安全性 您的IAS Server是否要規劃置於ServerFarm Zone ?
讓Raidius Client 發出EAPOL Request (Radius Port Accounting Port UDP1812 , Auth: UDP 1813若為早期的Raidus setting 則為UDP1645,1646) 向Radius Server 發出驗證要求