Rede de visitantes

Olá!
Tenho uma rede com as seguintes configurações:
DHCP Windows Server: 10.0.0.0/8
Gateway PfSense 10.0.0.2
Roteadores Ubiquiti

Tenho 2 redes configuradas nesses equipamentos, mas todas elas estão acessando o domínio sem problema. O que preciso fazer agora é criar uma rede para visitantes, que não tenha acesso a nada do resto da rede.
Tentei com o Guest Portal mas os clientes não conseguem puxar o DHCP.
Preciso configurar o DHCP direto no Ubiquiti para acesar?
Quais seriam os passos pra configurar dessa maneira?

Obrigado

Os APs UniFi são apenas bridges L2 que fornecem a cálula Wi-Fi para os clientes, ou seja, toda a configuração de roteamento inter-VLAN deve ser realizada no seu roteador L3 (pfSense) e nos switches que devem suportar VLANs. A única configuração que deve ser feita nos APs UniFi é associar cada SSID com sua respectiva VLAN, desde que a infraestrutura esteja previamente configurada.

https://youtu.be/VWIg2SazWVI

https://youtu.be/LsDoRkbFY3M

No meu caso tenho duas wi-fi:
Recebo via SXT com DHCP ativado, entra em meu roteador via WAN e distribui com DHCP desativado.
Uma wi-fi em bridge seja em 5 GHz ou 2,4 GHz; outra em 2,4 GHz para o comércio, pois são raros os celulares que suportam 5 GHz automaticamente ou mesmo IP estático e por isso atribuí um IP ao roteador.