WLAN - Internes Netz und externes Netz trennen

Hallo,

mich würde interessieren welchen Weg ihr einschlagen würdet wenn ihr in einem Betrieb eine Wlan Umgebung einrichten müsstet, bei der die internen Mitarbeiter Zugriff auf das interne Netz (Intranet) sowie auf das externe Netz (Internet) Zugriff haben sollen.
Gäste sollen nach dem Einwählen in das Wlan nur Zugriff auf das Internet haben, aber nicht auf das Intranet.

Mit welcher Technik löst man sowas am besten? Wo kann man später konfigurieren, welcher User oder Gruppe in welches Netz gelangen darf.

Welche Authentifizierungsmethoden würdet ihr bevorzugen?
Kerberos mit einem Radius Server?
Benutzerauthentifizierung oder das EAP-TLS-Verfahren?
Wlan mit WPA2 Standardabsicherung und Wlan-Tickets?

Ich bin gespannt auf eure Antworten.

Vielen Dank und viele Grüße