Гостевая точка доступа Wifi без доступа к родительской сети

Я пытаюсь создать гостевую wifi-сеть для моей существующей сети, но я не уверен, как защитить гостевую точку доступа wifi от родительской сети, когда точка доступа содержится в родительской сети.

Я попытался найти это, но я просто получаю результаты от потребительского оборудования, которое говорит "нажмите эту конфигурацию" и обычно предполагает, что главный маршрутизатор является самой точкой доступа wifi, что делает логическую сегрегацию намного проще.

              +----------+
              | Internet |
              +----+-----+
                   |
                   |
           +-------+------+
           | Linux Router |   10.0.0.0/24
+----------+              +--------------+
|          |   10.0.0.1   |              |
|          +-------+------+              |
|         Device A - 10.0.0.5            |
|                                        |
| Linux Guest Wifi Router - 10.0.0.200   |
|       +                                |
|       |                                |
+----------------------------------------+
        |
        |
        |   Guest Subnet 10.0.1.0/24
   +----+--------------------------+
   |                               |
   |  Guest Device X - 10.0.1.5    |
   |                               |
   +-------------------------------+

основной маршрутизатор является двойной NIC (ext/int) Linux box (Debian 7 с iptables) и ничего более. Гостевая точка доступа wifi будет рашпиль PI, который я заказываю, и я предполагаю, что необходимая конфигурация будет содержаться на гостевой коробке wifi.

но я не уверен, как настроить iptables (nftables?) на ПРР для обеспечения родительского сеть недоступна, кроме маршрута через интернет.

• как "гостевое устройство X" попадает на Основной шлюз маршрутизатора (10.0.0.1) при отказе в доступе к устройству A (10.0.0.5).
• как я узнаю, что главный маршрутизатор не собирается отправлять запрос на 10.0.0.5 обратно в подсеть 10.0.0.0 / 24? Должен ли я настроить iptables на главном маршрутизаторе для работы в тандеме с маршрутизатором Wi-Fi?

желаемые результаты от 10.0.1.5:

• $ пинг 10.0.0.5 - пункт назначения недоступен / нет маршрута к хосту и т. д.
• $ ping 8.8.8.8 - OK
• $ ping 10.0.0.1- (при условии OK?)
• $ ping 10.0.0.200-неизвестно?

Обсуждение альтернативного потенциального решения ниже:

• одно предложение состояло в том, чтобы сделать 2-й IP на главном маршрутизаторе и иметь гостевой WiFi маршрут к этому IP. Поэтому я посмотрел документы и нашел этот:
  • https://www.garron.me/en/linux/add-secondary-ip-linux.html

это будет выглядеть так:

Internet
  |
Linux Router
(eth1 10.0.0.1) (eth1:1 10.0.1.1)
  |                  |
Reg Network        Guest Wifi Router (10.0.1.2)
    (DHCP)           |
                   Guest Device (10.0.?.?)

Так что я не уверен в некоторых вещах на данный момент

1. как настроить таблицу маршрутизации основного маршрутизатора для предотвращения трафика от подсети 10.0.1.1 до 10.0.0.0/24? Или это правило iptables на главном маршрутизаторе на данный момент? Я не уверен, что вижу, как это отличается от гостевого WiFi маршрутизатора на 10.0.0.0 / 24, так как основной маршрутизатор все равно сможет маршрутизировать на другие устройства в этой сети?)
2. Я предполагаю, что гостевой wifi маршрутизатор будет нужен DHCP-сервер для гостевых устройств. Но будут ли гостевые устройства использовать подсеть 10.0.1.0 / 24 с 10.0.1.1 в качестве шлюза или настроить другую подсеть 10.0.2.0 / 24 для гостевых устройств?