Separates WLAN aufspannen mit AP10

Hallo Leute,
ich betreibe mit ESXi eine virtuelle UTM 9.004-34. Die 4 Schnittstellen am Intel Ethernet Controller sind folgendermaßen verteilt:
1. LANintern (DHCP 192.165.2.xx)
2. LANkinder (DHCP 192.165.1.xx)
3. WANkabelbw
4. WANvodafone

Bis jetzt sind nur kabelgebundene Geräte im Einsatz.
Da meine Kinder inzwischen aber immer größer werden und ihre Freunde sich mit ihren WLAN-Geräte zum Surfen auch online gehen wollen, habe ich mir gedacht, dass ich unser Netz dahingehend erweitere.
Das WLAN soll/muss aber komplett getrennt von meinem Netz sein.

Nun kenn ich mich mit WLAN-Geräte überhaupt nicht aus.
Wenn ich auf dem freien Markt irgendein Geräte kaufe, sollte ich es aber an eine getrennte Nic hängen, damit das WLAN-Netz komplett getrennt ist. Da ist aber nichts mehr frei.
Eine Alternative oder die bessere Lösung wäre von Sophos ein WiFi Gerät zu nehmen?

Reicht da ein AP10 oder soll ich ein "freies Gerät" nehmen?
Wo sind die großen Vorteile, wenn ich die Geräte von Sophos nehme?
Ich finde einfach keine nähere Informationen und Bedienungsanleitungen zu den Geräten. Wo find ich Diese?
Kann ich einen Gastzugang einrichten, welcher ein kurzläufiges Passwort bekommt, sperren von Downloads wie z.B. exe,zip,rar,mp3,mkv usw., sperren von bestimmten Webseiten (z.B. ***),Zugang für x Minuten.
Kann ich einzelne, ganz bestimmte WLAN-Geräte Zugang auf eine bestimmte IP im internen Netz (DatenSpeicher) geben? Wenn ja - wie?
In Webadmin sehe ich, dass ein Hotspot eingerichtet werden kann. Sorry, aber was ist das und für was?

Ich hab noch so viele Fragen aber das solls jetzt erst mal sein.