Ist pfSense die richtige Wahl für mein vorhaben?

[shiversc]

Hallo,

ich habe einen Standort mit einer flächendeckenden WLAN-Abdeckung. Das WLAN wird zur Zeit für zwei Zwecke benutzt. Eine einheitliche SSID ist für das verbinden meiner Clients aus der AD-Domäne. Berechtigte Host können einer bestimmten SSID immer betreten und bekommen von meinen DHCP-Diensten ihre Adressinformationen.
Die weitere SSID ermöglicht es sich in meiner Infrastruktur zu bewegen aber bestimmte Netze nicht zu verlassen bzw. reglementiere ich das über VLANs und Abweisungen an der Firewall. In diesen Netz muss die Passphrase manuell eingegeben werden. Kein DHCP spuckt Konfigurationen aus.

Meine Access Points sind alle in der Lage vier SSIDs zu machen und ich kann jede SSID zu einem VLAN verbinden.
Ich will nun eine weitere SSID aufmachen als offenes Netz, zumindest in Hinsicht auf Passphrase und DHCP.

Jeder soll den Netz betreten können aber mangels Eingabe am Capative Portal und Client Isolation so lange im Netz hängen bis Kollegen dem Gast die Zugangsdaten für das Capative Portal aushändigen. Der Traffic wird in einem VLAN verpackt zur VDSL-Firewall ins WAN geroutet.

Meine Fragen:
Ist pfSense in der Lage meinen Wunsch zu leisten, wenn ich…

1. An den APs die Client Isolation aktiviere und dir verbundenen Clients nur zur pfSense Distribution über ein VLAN in meiner Gesamtstruktur transportiere?
2. Ist das offene Netzwerk eine gute Idee? Mit der Isolation sollten das doch kein Risiko darstellen? Oder doch auch hier zusätzlich eine Passphrase?
3. Kann ich für die vergebenen Zugänge zum Capative Portal den Traffic für einen Zeitraum X protokollieren? Proxy nötig?

Was haltet Ihr von der Idee?
Gibt es eine fertige Hardware für die Montage auf einer Hutschiene die mehr als 10 Access Points und in Spitzenzeiten 10-15 Clients mit der VDSL Bandbreite von 50.000 / 10.000 kbits versorgen kann? Die pfSense Lösung hängt hinter einen Router, siehe Bild.