Isolar Clientes e Ap's da Rede

Amigos do under, hoje tenho uma rede toda em bridge com switch intelbras vlan fixa no "pé" de cada torre. Trabalho com pppoe em todos os clientes. Mas se eu pingar de um cliente pro outro vai normal, se tentar acessar os aps de qualquer parte da rede, é possível acessar. Gostaria da opinião dos amigos de qual forma mais simples posso isolar a rede dos clientes e os "clientes deles mesmos", se é que me entendem.
Vlan, vpls ?

Não fasso isso por isso não vou garantir o resultado.
Se for bridge procure pelo parametro "horizon".
Se for rota e firewall mesmo usa address list pra facilitar.

Enviado de meu SM-G800H usando Tapatalk