WLAN Zugriffsverwaltung mit Windows 2008 R2 (NPS)

Hallo Wissende,

ich stehe vor einer Herausforderung und bin wohl mittlerweile etwas blind geworden, seit einiger Zeit versuche ich mittels Radius/NPS (Windows 2008R2) zwei WLANs zu verwalten.
Die Einrichtung der Authentifizierung mittels RADIUS habe ich mit einem Guide vorgenommen, in der "Standard"-Ausführung läuft das Ganze auch ohne Probleme.
Leider handeln diese Guides immer nur den soeben erwähnten "Standard" ab, ein WLAN mit einem RADIUS Server.


Das Ziel und damit meine Aufgabe:
Meine Firma wünscht die Bereitstellung zweier WLANs (A & B).
WLAN A ist für die Notebooks der Kollegen mit Zugriff auf das Intranet sowie das Internet via Proxy (einfach ausgedrückt, statt dem Netzwerkkabel wird das WLAN genutzt)
WLAN B ist für die Smartphones der Kollegen mit direktem und freien Zugriff auf das Internet OHNE Zugriff auf das interne Netzwerk. (separates VLAN, eigener IP-Kreis)


Zusammenfassung der Anforderungen:
- WLAN A für Notebooks
- WLAN B für Smartphones
- Notebooks dürfen nicht in das WLAN B
- firmeneigene Smartphones dürfen nicht in das WLAN A
- firmenfremde Smartphones dürfen nicht in das WLAN B
- Sicherstellung, dass Unbefugten kein Zugriff gewährt wird


Meine Idee:
WLAN A Zugriff mit User-Zertifikat (EAP-TLS), WLAN B Zugriff mit Username und Passwort (PEAP).
An die Notebooks wird das Zertifikat verteilt bzw. die User dürfen dieses selber anfordern, die Smartphones erhalten dieses Zertifikat nicht
Gruppe 1 "WLAN - Geräte" beinhaltet die Notebooknamen die auf WLAN-A zugreifen dürfen.
Gruppe 2 "WLAN - User" beinhaltet die Domänenbenutzer, die mit Ihrem Smartphone auf das WLAN B zugreifen dürfen.
die Smartphones sind nicht im AD erfasst!


Offene Fragen aus meiner Sicht:
- Unterbindung des Zugriffs der Notebooks auf WLAN B
- Unterbindung des Zugriffs von nicht firmeneigenen Smartphones auf WLAN B


Zur Umsetzung:

In meiner Testumgebung befindet sich der besagte Windows 2008R2 Server, alle benötigten Rollen (DC, CA, NPS, etc) sind installiert.
Ich habe nun das WLAN A eingerichtet und den RADIUS Server konfiguriert. Eine Verbindung mit dem WLAN A war leider erst zum Zeitpunkt
der Aufnahme des Domänenbenutzers in die Gruppe "WLAN - Geräte", welche als Einschränkung für das WLAN A genutzt werden sollte, möglich.

Soweit so gut / schlecht! Eine Eingrenzung auf bestimmte Geräte ist nicht möglich - ausschließlich auf Benutzerebene??? --> Das kann m.E.n. nicht richtig sein?!

Wenn ich die Richtlinie für das zweite WLAN einrichte, habe ich zwei unterschiedliche Phänomene,
entweder benötige ich auch für das WLAN B das Zertifikat oder wenn ich die Reihenfolge der Richtlinien vertausche,
genügt die Authentifizierung via Benutzername und Passwort um eine Verbindung mit dem WLAN A herzustellen.

Laut meinem Verständnis, bedeutet dies, dass der NPS nicht wie gedacht Richtlinie 1 für WLAN-A und Richtlinie 2 für WLAN-B nutzt
und auch nicht wenn eine Richtlinie nicht greift, zur anderen wechselt. --> Schade eigentlich - hätte so einfach sein können!

Konnte mir noch jemand folgen und weiß vielleicht, was ich wie machen muss, damit die Realisierung noch umsetzbar ist?
Ist eine Eingrenzung über die Geräte wirklich nicht möglich - nur über die Benutzer oder liegt dies an der Authentifizierung über ein Benutzerzertifikat?
Besteht wirklich nicht die Möglichkeit, eine Richtlinie einem WLAN zu zuordnen?

Wenn euch etwas an Informationen fehlt, meldet euch!

Danke im Voraus!