Как заблокировать определенный компьютер за NAT

У меня небольшой хостел и имеют следующую конфигурацию сети:

Router1 (192.168.1.1) ─┬─ (192.168.1.2) Ubuntu Samba+SSH Server
                       ├─ (192.168.1.X) Router 2 (192.168.2.1) ─┬─ (192.168.2.X) GuestPC1
                       ├─ (192.168.1.X) AdminPC1                ├─ (192.168.2.X) GuestPC2
                       ├─ (192.168.1.X) AdminPC2                ├─ (192.168.2.X) GuestPC3
                       :                                        :
                       :                                        :
                       └─ etc.                                  └─ etc.

192.168.1.X-это сеть администратора, которую мы хотели бы сохранить в тайне от гостевой сети (192.168.2.X) сохранить для некоторых общих папок Samba на 192.168.1.2.

все компьютеры в обеих сетях получают свои IP-адреса через DHCP, за исключением сервера Samba+SSH, который использует статический IP.

Я заметил, что GuestPC могут получить доступ к серверу Ubuntu Samba+SSH, несмотря на настройка ufw для разрешения только 192.168.1.0 / 24.

после исследования немного в Интернете, кажется, что соединения от GuestPC способны маскироваться на моей сети администратора из-за NAT на маршрутизаторе 2. Таким образом, учитывая только вышеупомянутое правило ufw, GuestPC могут полностью получить доступ к сервисам Samba и SSH без ограничений.

мой вопрос в том, каков правильный способ предотвращения гостевой сети (192.168.2.X) компьютеры от доступа к сети администратора (192.168.1.X)? Есть ли лучший способ, чем установить маршрутизатор 2 на статический IP и блокировать его IP с помощью ufw на сервере Ubuntu?