Gäste WLAN mit Layer3-Switch, ISE und Cisco WLCs

Guten Tag,

ich würde gerne ein Gäste-WLAN über unseren vorhandenen Layer3-Switch und einem vorhandenen ISE (Voucher) realisieren. Die Internetleitung dafür wird separat sein. Natürlich geschützt durch eine eigene FW. In einem zweiten Schritt sollen sich über dieses WLAN auch Mitarbeiter direkt mit dem Firmennetzwerk über AD-Authentifizierung verbinden können.

Ich konnte sehr günstig zwei WLCs und drei passende APs aus einer Firmenauflösung ersteigern.

Gegeben sind:

1 x Layer3-Switch
1 x ISE
2 x WLC (HA)
3 x AP
1 x FW (+ Internetleitung; beides separat für Gäste-WLAN)
2 x AD (VLAN 100)

Meine Frage ist nun: wer muss mit wem über welchem/n Weg/en kommunizieren?

Meine Idee:

Ich packe die ISE + WLCs + APs in ein eigenen VLAN (50)
Die WLAN-Clients bekommen auch ein eigenes VLAN (20)
Die ISE hat Füße im VLAN 50 + 100 + 20

Kann das so funktionieren? Oder müssen die WLCs auch Füße in den VLANs 50 + 100 + 20 haben? Oder ist meine Denke vollkommener Blödsinn?

Für Vorschläge danke ich vorab.

Diners