Você disse que a rede primária consegue pingar pra internet. De onde você testou esse ping?? de uma estação conectada ao hub?? Você tem 3 APs, o AP2 e o AP3 estão conectados ao AP certo?? O pessoal dessa "rede secundária" ta vindo de qual AP??
Aparentemente o problema não é roteamento nem NAT...