Reglas de firewall hacia SSID de AP con OpenWrt

[DallasBelt]

Este es mi esquema de red: https://ibb.co/H4Fbb5g

Mi objetivo es crear una segregación para mi SSID de invitado, el cual lo transmite un AP con OpenWrt. Es decir, no quiero que esta red wifi pueda "ver" a mis dispositivos LAN ni al firewall. También me gustaría agregarle límites de ancho de banda. Sé cómo hacerlo en OpenWrt, pero como es un AP tonto no puedo crear una interfaz con reglas de firewall, y obviamente deseo hacerlo en OPNsense. Mi pregunta es: ¿Se puede? Si es así, ¿cómo? ¿Hay alguna guía con información detallada?

(No soy un experto en redes, así que tengan paciencia conmigo por favor).