Liberar acesso à rede interna após login

Olá, estou querendo implementar uma solução que é a seguinte: nos rádios onde se conectam tanto PC quanto impressoras e notebooks (mesmo pessoais), queria que ao se conectar o "cliente que não fosse funcionário" pudesse navegar sem acesso aos arquivos e pastas do domínio (rede corporativa, existem pastas com acesso full a todos os usuários) e os funcionários tivessem o roteamento liberado para a rede interna mesmo em computador sem estar no AD, pois tem chefe que não sabe mal ligar um computador, quanto mais lembrar que precisa trocar entre usuário local quando está em casa e usuário do domínio.
Sendo assim, quero tirar a senha WEP/WPA2 dos rádios, para diminuir minha dor de cabeça em ter que ir toda hora digitar senha em algum notebook particular (de não funcionário) ou da empresa e também para facilitar minha vida já que existem acessos de dispositivos móveis, não queria que estes tivessem acesso ao AD.

Algo como um hotspot onde se digita usuário e senha para acesso à internet e só então ela é liberada, mas que os não funcionários recebessem um IP diferente, no próprio hotspot isso é possível?

Existe alguma solução assim (sem que eu tenha que setar reserva no DHCP) e quais termos devo pesquisar para encontrar algo neste sentido? Atualmente uso PfSense como firewall e DHCP, Win2008 como AD e DNS.

Uma boa seria criar VLAN, mas aí volta o problema, como saber quem é funcionário e quem não é?

Use o hotspot com vlan e virtual ap para criar a rede visitantes e crie regras de bloqueio de forward entre essas redes.

Enviado de meu GT-I9070 usando Tapatalk

O problema é justamente que a rede deve ter o mesmo nome independente de quem vá logar já que como falei, alguns chefes usam notebook pessoal, sem estar no domínio, mas com seu usuário e senha acessam as pastas do domínio e não podem perder esse acesso e quero tirar a criptografia dos AP's. Mesmo assim, vou dar uma pesquisada na solução com virtual AP.

Entendi, mais isso é extremamente inseguro, expor sua rede a pessoas de fora. Quem garante que esse usuário não vai parar lá na frente com um notebook e fazer sabe Deus o que em outro horário ou dia.

Infelizmente não posso determinar as regras, apenas obedeço a galera que não entende de redes nem de segurança de redes. Já desisti dessa briga.