Запретить клиентам беспроводной точки доступа доступ к основной сети

Question

У меня есть сеть и WAP, подключенный к этой основной сети. WAP - это Buffalo WZR-HP-AG300H с DD-WRT, который обслуживает DHCP в другой подсети, чем основная. То, что я хотел бы иметь, является установкой, в которой клиенты WAP не могут получить доступ к основной сети, в то же время разрешая трафик в и из Интернета (через основную сеть). Это возможно?

Вот схема текущей структуры сети:

                  Internet
                     |
                   Modem
                      |
                     Switch
                      /    \
                      AP1. AP2 (Forwards to a new subnet)

Если вы не можете судить по диаграмме, AP 1 просто действует как устройство пересылки WiFi, но AP 2 действует как основа новой сети. То, что я пытаюсь сделать, это заблокировать сети от связи, но все же разрешить подключение к интернету.

Кроме того, для команд iptables две подсети: 192.168.0.0/24 и 192.168.11.0/24. ПРИМЕЧАНИЕ. Я не являюсь владельцем сети. Я просто создаю частную сеть, так что если что-то внутри взломано, оно не сможет добраться до главного, и поэтому все за пределами подсети безопасно. ПРИМЕЧАНИЕ 2: у меня есть Netgear prosafe plus, подключенный к порту WAN, чтобы я мог контролировать трафик за пределами маршрутизатора, чтобы решить эту проблему.

Answer 1

Я решил проблему с помощью следующего брандмауэра:

iptables -I FORWARD -d 192.168.0.0/24 -j logdrop
iptables -I FORWARD -d 192.168.0.1 -j logaccept

Я могу получить доступ к маршрутизатору, но не могу получить доступ к любым другим компьютерам в сети, я также собираюсь отключить запросы ping к маршрутизатору, чтобы было сложнее сказать, что сеть существует.