Finalement, tu n'as donc besoin "que" de 2 (V)LAN différents.

Si je devais faire ça je partirais sans doute sur une solution pfSense ou un autre routeur.
Il faut aussi voir qui administra cela après.
Parfois il vaut mieux faire simple que beau pour ne pas dépendre d'un admin réseau.

Pour le WiFi, tu as déjà les AP ?
C'est des simples AP de base ou bien elles gèrent aussi les VLAN ?
pfSense peut aussi faire captive portal, c'est pas mal pour du wifi public.