Você pode resolver isso colocando 3 placas de rede no servidor Linux, da seguinte maneira:

1 - Placa de rede conectada ao seu roteador (saída para internet). Essa placa terá um IP fornecido pelo fornecedor do seu link;

2 - Placa de rede onde estará conectada sua estrutura wireless, que atenderá seus clientes. Para evitar que os clientes da rede wireles enxerguem-se, crie um IP ALIAS nessa placa para cada cliente. Por Exemplo: Cliente 1: IP ALIAS 10.10.2.1 Máscara 255.255.255.252; Cliente 2: IP 10.10.3.1 Máscara 255.255.255.252. No micro do Cliente 1 vc vai colocar o IP 10.10.2.2 Máscara 255.255.255.252 Gateway 10.10.2.1; no micro do Cliente 2 vc vai colocar o IP 10.10.3.2 Máscara 255.255.255.252 Gateway 10.10.3.1... e assim por diante... Vc também precisa bloquear as portas do Netbios no seu rádio (137 a 139, se não me engano). Não adianta afzer esse bloqueio só no servidor, pois o rádio funciona de forma transparente (na maioria dos casos);

3 - Placa de rede que será o gateway da rede interna da Prefeitura (Ex.: IP 192.168.0.1 Máscara 255.255.255.0). Daeh é só deixar os clientes da Prefeitura nessa mesma rede e grupo de trabalho...

Obviament deverá ser configurado o firewall nesse servidor para evitar a ponte entre essas duas últimas placas de rede, ok????

Espero ter ajudado...

..