Na configuração padrão do OpenWRT, você tem uma única ponte que contém todas as portas LAN físicas. Se você criar redes diferentes para cada porta LAN, poderá configurar o dnsmasq separadamente para cada rede. Você pode então atribuir todas as redes na mesma zona de firewall.
Lembre-se de que nada impede que você ou outra pessoa conecte outro switch ou hub a essa porta física, portanto, a escolha mais segura ainda é atribuir endereços IP com base nos endereços MAC.