Sophos Wireless and DHCP | Trunk-Port vs. Access-Port | No DHCP on WiFi Client

Hallo Community,

ich habe ein Verständnisproblem beim Einrichten von Wireless-LAN und hoffe auf eure Hilfe.

Wir haben eine Sophos XGS 107 im Einsatz und für zwei weitere Standort SD-RED-60 mit VLAN-Unterstützung zum Einsatz.
Die XGS und die SD-REDs sind im Bridge-Modus verbunden (Zone LAN).

- Bridge mit mehreren VLANs (22,85, ...) konfiguriert.
- Die XGS ist für alle Netze/VLANs der DHCP-Server.
- Alle APX sind vorab mit VLAN 22 konfiguriert.

- VLAN 22 (192.55.22.0/24): Für Access Points
- VLAN 85 (192.55.85.0/24): WLAN mit SSID "Test" in Sophos Wireless in VLAN 85 zugeordnet.

Nachfolgend Variante 1, welche funktioniert.
Variante 2, wie es funktionieren sollte.

Variante 1 - APX direkt an SD-RED-60:

1. An der SD-RED-60 wird eine APX-320 direkt an Port 2 (Trunk Port) mit VLANs 22,85 angeschlossen.
2. APX-320 erhält über DHCP in Netz 192.55.22.0/24 eine IP.
3. WLAN "Test" wird ausgestrahlt.
4. WiFi Endgerät erhält in WLAN "Test" über DHCP in Netz 192.55.85.0/24 eine IP.

Variante 2: APX an Switch, Switch an SD-RED-60:

Alle Ports auf dem Cisco Switch sind Access-Ports und Endgeräte werden anhand der RADIUS Authentifizierung Ihrem zugeteilten VLAN zugeordnet.

1. An der SD-RED-60 ist ein Cisco Switch (Layer 2) angeschlossen.
2. APX wird direkt an Cisco Switch angeschlossen.
3. RADIUS authentifiziert APX, Access-Port erhält VLAN 22.
4. APX-320 erhält über DHCP in Netz 192.55.22.0/24 eine IP.
3. WLAN "Test" wird ausgestrahlt.
4. WiFi Endgerät erhält in WLAN "Test" über DHCP in Netz 192.55.85.0/24 KEINE IP (DHCP nicht erreichbar).

Fragen

1. Werden die WiFi-Netzwerke auf der APX nicht über einen IPSEC-Tunnel mit der Sophos verbunden?
2. Müssen die Ports auf dem Cisco Switch als Trunk-Ports mit allen VLANS konfiguriert werden?
3. Die Anforderung wäre mit Access-Ports zu arbeiten. Fällt euch eine Einstellung/Alternative ein, welche auf dem Cisco-Switch vergessen wurde?

Besten Dank im Voraus für die Hilfe.