Problem bei Vlan konfigutation (Fortigate kann server nicht pingen aber andersrumm)

hallo alle zusammen.
ich habe ein Problem mit der Konfiguration eines Vlan Netzes:
ziel ist es 2 Netzte aufzubauen die mit Vlan getrennt sind:
Ein netz mit einem Suse Server der als Vm Host konfiguriert ist sowie 2 Clients, und ein Drucker,
sowie ein 2es Vlan Netz mit einem AP 2100( welche im moment durch einen Client zum konfigurieren ersetzt ist.

Wir wollen das das erste Netz im ersten Vlan arbeitet und das 2e mit dem Ap im 2en Netz ist und keinen Zugriff auf das erste Vlan bekommt um den Server zu schützen.
Beide sollen nur eine Fortigate 50a sehen und gegenfalls darüber auf das Andere Vlan zugreifen.

also wir haben jetzt 2 Netzte aufgebaut
Vlan 1 : 192.168.236.0/24
und Vlan 2 : 192.168.237.0/24

Ports am switch sind soweit wir wissen richtig getagt.
der Server kann die Fortigate anpingen und die Fortigate den Server.
soweit so gut
gleiche Einstellung für das andere Vlan2
Client kann Fortigate anpingen und nicht den Server ( gewollt so )
aber : die Fortigate kann den Client nicht anpingen.
Wie ist das möglich bei absolut gleich Konfiguration der Netze?
Vlan interface ist auch gleich bei beiden in der Fortigate.
also einmal 236.x und einmal 237.x