Vlan per Wifi Ospiti Isolata da home network

[Nanotek]

Sto sperimentando le VLAN su Mikrotik.

Ho un Access Point WIFI Netgear che ha 2 reti home e guest. La rete guest viene inviata su VLAN ID = 20. Penso invece che la rete Home sia il traffico normale sulla stessa porta.
Il routerboard è configurato così: 
2 wan su eth1 (Tim) e eth2 (Fastweb) 
Bridge da eth3 a eth5
 

L'AP Netgear è connesso alla eth5

Ho creato una interfaccia Vlan 20 sulla eth5.
Le 2 WAN sono configurate in load balance.

Dhcp server sul bridge: 192.168.1.0/24 per la home network
Dhcp server su vlan20: 192.168.2.0/24 per guest wifi network.

Vorrei che la Vlan potesse raggiungere le 2 WAN in load balancing ma non comunicare con la rete home e viceversa.

 

Bisogna impostare le regole del firewall, ma come ?

Drop di tutte le connessioni da 192.168.2.0/24 a 192.168.1.0/24 e viceversa ? Due regole per ogni rete ? Altre idee ?