allora vediamo di ricapitolare un attimo quello che ho pensato visto che le tue richieste sono tante
la prima cosa che ti consiglio è quella di fornirti di switch managed perché rende la cosa più semplice, se lo fai con degli switch unmanaged ti complichi solamente la vita
a livello hardware collegi lo/gli switch managed al firewall con un trunk logico in modo da poter far passare le varie vlan che andrai a creare.
per creare la rete ospiti WiFi crei una vlan dedicata sul firewall (es. VLAN100), dopo di che imposti sullo switch una porta su tale vlan e ci colleghi l'access point creando la rete wireless per gli ospiti, che con le dovute impostazioni sul firewall potrà solamente navigare verso internet.
ora passiamo alla parte più difficile
iniziamo dalla rete interna
come prima operazione creiamo sul firewall la vlan2, poi imposti una porta del firewall stesso o di uno switch in trunk e ci attacchi il server, sul quale ovviamente dovrai andare ad impostare la scheda di rete in trunk.
creiamo poi una vlan3 e una vlan4 sul firewall, andiamo poi sullo switch ed impostiamo una porta per una vlan e una per l'altra e qua andremmo ad attaccare i due client dell'ufficio tecnico.
Dovrai poi provvedere ad abilitare ed impostare il routing sul firewall, facendo in modo che la vlan3 possa andare solo verso internet e verso la vlan2, e che la vlan3 possa andare solo verso internet e verso la vlan2.
In questo modo i due client possono collegarsi al server ma non possono vedersi tra di loro
i client remoti (sia amministrazione che uff tecnico), quando si connettono via VPN dovranno essere reindirizzati sulle vlan create ad hoc per loro con il solito discorso del routing così che possano vedere solo il necessario e siano isolati gli uni con gli altri.
Il client universale avrà anche lui una vlan dedicata che però avrà la possibilità di raggiungere qualsiasi flan, quindi a livello di routing dovrai dargli la possibilità di accesso a tutte le reti
spero sia chiaro
curiosità, che firewall usi?
EDIT poi ovviamente sul server dovrai creare le varie permission di accesso alle cartelle degli utenti come se fosse un unica rete, ma quello lo davo già per scontato