Изолируйте устройства от одной и той же физической сети.

Привет всем, я сдаюсь и прошу о помощи. Пожалуйста, я много искал и не смог найти способ настроить свою сеть. Я когда-то давно работал с сетями, но сейчас отстал от новых технологий. Я купил Mikrotik HEX 750gr3 для своей домашней сети, у меня очень простая топология, но я хочу поиграть с ней и настроить более серьезную безопасность, так как у меня есть NAS и я хочу контролировать доступ к нему. ТОПОЛОГИЯ: Мое интернет-соединение — это МОДЕМ от провайдера, настроенный как БРИДЖ. За ним стоит роутер Mikrotik, настроенный на WAN с PPPoE. 3 LAN Mikrotik подключены к точкам доступа по всему дому (на самом деле все Apple Airport, 2 express и 1 extreme, в будущем я их заменю), все настроены как бриджи. Mikrotik с DHCP и другими сервисами. Некоторые соображения: Все устройства подключаются по Wi-Fi. Гостевой сети нет, потому что для этого мне нужно сделать Apple Airport роутером с включенным DHCP, а я этого не хочу. Все устройства находятся в одном пуле IP. ЦЕЛЬ: Я хочу изолировать некоторые устройства от других. Пример: Инфраструктура (APs/NAS), фиксированные устройства (телевизоры и т.д.), гости и т.д., чтобы предоставить каждому эксклюзивный доступ и желательно не позволить некоторым пользователям иметь доступ к другим локальным устройствам, таким как NAS или какие-либо настройки AP. Как это было раньше: До Mikrotik все AP были подключены напрямую к моему модему/роутеру, который имел статические аренды для определенных диапазонов моей сети класса C. Так что в фаерволе я разрешал или запрещал доступ к некоторым сервисам в интернет на основе этих диапазонов, но любой мог получить доступ к другим устройствам в моей локальной сети. Любое незнакомое устройство считалось Гостем и имело очень ограниченный доступ в Интернет. Мои варианты? Реализовать так же, как и раньше: нет, я хочу что-то лучше. Отдельная сеть для AP и двойные IP на роутере: я думал попробовать сделать что-то вроде этого, настроив AP на другой адресный диапазон, например 10.0.0.0, и настроив второй IP на Ethernet роутера. Просто вариант. VPN: Я бы хотел управлять всем с помощью VPN, но я застрял. Я давно работал с VPN, но эта настройка мне не знакома. Для этого мне нужно идентифицировать устройства по их MAC-адресу, чтобы установить VLANID, так как все устройства идут на одни и те же AP. Любое незнакомое устройство будет считаться Гостем. Так что мне нужно настроить DHCP-сервер для этого, а я не знаю как, если это возможно. Другой вариант? Буду рад услышать любые предложения. Спасибо!