Nur für Profis (-:

Hallo. Möchte demnächst ein Netzwerk ausbauen und wollte das Konzept einfach nochmals bestätigen lassen.
Es geht um diese Netzwerkinfrastruktur (Natürlich habe ich einiges weggelassen):
 

Nun möchte ich eben die RAS Einwahl auf einer Hardware als Radius Client und Server realisieren. Meine Frage(n) nun:
1. Sollte ich das ganze nicht lieber in einer DMZ realisieren, in der noch eine zusätzliche Firewall "hinter" (Auf der Seite des internen Netzwerks) dem IAS Server vorhanden ist oder reicht die Sicherheit aus?
 
2. Bezogen auf die DMZ: Würde es auch Sinn machen einen "ISA" Server direkt auf dem IAS Server aufzusetzen um so eine DMZ zu kreieren (Um sich so eine Hardware zu sparen)?
3. MUSS in diesem Fall der Router die Fähigkeit der Weiterleitung an einen Radius Server besitzen (So wie es WLAN Radius Clients beispielsweise tun) oder könnte ich das ganze auch anderweitig realisieren? Z.B. indem der IAS Server auch die Radius Client Funktion auf der Internetseite mit Routing und RAS übernimmt und ich den Cisco Router stattdessen als interne Firewall für die DMZ aufstellen, so dass also letztendlich der IAS (Radius Client und Server) Server auch als ISA Server fungiert und dennoch eine DMZ vorhanden ist, da mir nur diese Hardware für diesen Zweck zur Verfügung steht.
 

Ich freue mich auf euere Vorschläge und bedanke mich gleichzeitig.