Virual AP

Привет, ребята! У меня есть интегрированная плата с atheros5213a. Хочу настроить две отдельные беспроводные сети: одну для меня и одну для клиентов. Я уже настроил ether1 с IP-адресом в моей локальной сети 192.168.3.11/24 и wlan1 с 172.16.0.1/24. Затем я включил masquerade для wlan1 и настроил DHCP и т.д., и могу подключаться с использованием 40-битного WEP и получать IP-адрес 172.16.0.x и подключаться к интернету через шлюз на 192.168.3.1. Затем я настроил виртуальный AP с более строгими настройками WEP и сеть 172.16.1.x. Это работает, но это не то, что я хочу. В сущности, я хочу иметь адрес сети из моей локальной сети, например, 192.168.3.6x на wlan2 (виртуальный AP). Я читал, что для этого нужно включить bridging? Верно? И если это работает, как мне остановить клиентов, использующих IP-адрес 172.16.0.x, от доступа к чему-либо, кроме конкретного IP-адреса в моей локальной сети? Я хочу, чтобы они могли подключаться к интернету и, возможно, к моему Asterisk серверу, чтобы звонить мне, но ни к чему больше. Это просто правило брандмауэра? И если да, то как с работающим masquerade? Надеюсь, я хоть как-то понятно изложил. С уважением, Дин.