Trzy routery kaskadowo - żółty wykrzyknik

Dzień dobry!
Ledwie zarejestrowany - i już pisze. Wybaczcie jednak, sprawa dość pilna, a właściwie nie bardzo mam gdzie poszukać pomocy.
Sytuacja następująca:
Lokalizacja: szkoła ok 300 uczniów

  1. ISP: Neostrada VDSL, łącze stabilne, żadnych problemów, modem neostrady w sieci wewnętrznej nadaje adresy 10.0.0.x
  2. jednym z klientów jest serwer z oprogramowaniem Windows 2003 Server +SBS , karta WAN 10.0.0.4, LAN : 192.168.0.x. Klienci działają prawidłowo, zarówno domenowi jak i spoza domeny.
    Zadanie: zapewnienie dostępu wifi w wielu miejscach budynku, jest wdr4300 (oczywiście kilka, ale skupmy się na jednym).
    Router skonfigurowany jako AP (kabel podłączony do LANu, wyłączony DHCP) pracuje bardzo dobrze, internet szybki, stabilny - mogłoby tak zostać, ale pula adresów się niestety wyczerpuje (tablety, komórki, laptopy)
    PROBLEM: w konfiguracji jako router (kabel do WANu) nadaje adresy z klasy 10.1.2.1. Klienci łączą się bez problemu, ale sieć pracuje słabo, niestabilnie, przy diagramie sieci brak połączenia pomiędzy routerem a internetem (mimo to strony się ładują, ale tak jak opisałem wcześniej - słabo)
    Poza tym z punktu widzenia bezpieczeństwa znacznie bardziej skalowalne jest rozwiązanie w trybie "router", gdyż wtedy dostęp bezprzewodowy to w puli adresowej serwera 2k3 kilka adresów IP, które można zablokować, monitorować, włączać wyłączać prostymi regułami w ISA.
    Zatem poproszę o pomoc i ewentualne odpowiedzi na następujące pytania:
  3. czy moja idea takiej rozbudowy sieci jest poprawna (3 poziomy sieci)
  4. jeśli można, to proszę o wskazówki co do najważniejszych ustawień routera, warunkujących poprawne działanie w takiej konfiguracji.
    Pozdrawiam i z góry dziękuję za wszelką pomoc. Oczywiście w razie potrzeby służę dodatkowymi informacjami.

Na 3 poziomy może być, jednak jako router dla tylu urządzeń dał bym coś mocniejszego. Może nawet lepiej dołożyć drugą kartę sieciową do serwera lub wydzielić osobny vlan na istniejącej karcie. Do tej sieci użyj innej maski wtedy nie będzie problemu z wyczerpującymi się adresami, a WDRy ustaw jako AP.