RADIUS Server auf anderer Schnittstelle

[NausB]

Moin.
Ich hab schon etliches durchsucht, bin aber leider nicht fündig geworden.
Deshalb nun hier meine Frage:
Ich bin kürzlich von pfsense auf OPNsense umgestiegen.
Ich nutze es als Captive Portal um Hotelgästen einen LogIn ins Internet zu bieten.
Nun würde ich diesen LogIn gerne über einen Radius laufen lassen.
Da ich eine Synology mit Radius habe, wollte ich diesen auch gerne nutzen.
Allerdings liegt die Synology auf einer anderen Schnittstelle.
Momentan ist die OPNsense wie folgte konfiguriert:
1. Schnittstelle -> WAN
2. Schnittstelle -> LAN im Bereich 192.168.0.X vergeben per statischer IP
3. Schnittstelle -> CP (WLAN) im Bereich 10.0.1.X mit DHCP startet ab 10.0.1.100

Die Synology mit dem Radius hat die IP 192.168.0.250
Lege ich an die Schnittstelle nun einen AP und versuche mich darüber zu verbinden erfolgt der LogIn problemlos über den Radius.
Wechsel ich nun die Schnittstelle und lege den AP mit statischer IP (da diese ja im RADIUS eingetragen werden muss), auf die 3. Schnittstelle passiert leider NIX.
Ich hab schon versucht in der Firewall den PORT 1812 (Authentifizierung) freizuschalten, also alle Anfragen aus dem WLAN über diesen PORT an die LAN Adresse 192.168.0.250 zu erlauben, im UDP wie auch im TCP.
Das brachte leider keinen Erfolg.

Daher nun meine Fragen:
Ist es generell möglich den RADIUS auf einer anderen Schnittstelle laufen zu lassen?
Wie sind die dazu nötigen Einstellungen in der Firewall.
Bedarf es einer Regel oder einer Portweiterleitung?

Hoffe auf Hilfe.
Danke
Nils

EDIT: Ich hab es nochmal mit einer Portweiterleitung probiert:
Schnittstelle: WLAN
Protokoll: any
QuellAdresse: WLAN Netzwerk
Ports: jegliche
Zieladresse: 192.168.0.250
Ports: jegliche
NAT Ports: 1812

Wenn ich mich nun mit dem AP verbinde, erfolgt eine Frage nach Benutzername und Kennwort.
Leider scheinen die nicht akzeptiert zu werden.
Irgendwo muss hier der Fehler liegen.
Denn auf Schnittstelle 2 wurden diese akzeptiert.

[fabian]

Schon mal nachgeschaut, ob das CP den Zugriff durch den AP verbietet, bis der sich anmeldet? In dem Fall musst du dessen IP auf die Whitelist setzen.

[NausB]

Das brachte leider auch keinen Erfolg.
Ich werde mal testen, wie es ist, wenn ich den Datenverkehr zwischen der 2. und 3. Schnittstelle erlaube.
Sollte es dann funktionieren, wird ja irgendwo der Traffic geblockt.