Как создать CAPs с 2 SSID в разных IP-доменах

Привет, я пробовал настроить это сам и потратил много времени, но у меня получается ужасно. Мне нужно создать 2 SSID: один для внутренней частной сети, второй для публичной/гостевой, с ограничением ширины канала, чтобы он не имел доступа к частной сети. Для этой цели я настроил CAPs с двумя спутниковыми роутерами, подключёнными напрямую по Ethernet (eth3 и eth4) к главному, CAPSMAN, у которого тоже есть свой WiFi как CAP. Главный роутер не является DHCP для частной сети, он подключён через eth2 к главному интернет-роутеру (тоже с DHCP). CAPs работают, затем я создал на CAPSMAN новый бридж для публичной сети, назначил слейв-SSID на этот бридж в любом из CAP, и создал на нём DHCP. После этого я NAT'ил новый бридж на дефолтный с помощью IP firewall, все публичные IP адреса сопоставлены с частной сетью, я отфильтровал частные IP адреса на целевые, чтобы предотвратить доступ из публичной сети к частным. В результате публичная сеть работает с роумингом, но частный SSID работает только на CAPSMAN, на других роутерах частный SSID постоянно подключается и отключается, и когда я пытаюсь подключиться, он не соединяется. Я думаю, что проблема в том, что новый бридж каким-то образом стал корневым, CAP не может ничего отправить на CAPSMAN, там даже нет записи о попытках подключения. Если я отключаю на этом CAP публичный SSID, он работает, теоретически работает также, если я назначаю публичный SSID на дефолтный бридж. Теперь какой правильный способ решения данной задачи? Можешь коротко объяснить логику, как построить мою идею? Должен ли я использовать VLAN? Напиши мне что-то вроде: «Сделай CAPs, создай новый бридж, назначь ему... бла-бла-бла». Пожалуйста, помни, что мне также нужно включить простое ограничение по ширине канала для публичного SSID. Большое спасибо!