A rede que você tem parece ser desnecessariamente complexa e difícil de manter. Pelo custo de uma NIC extra no servidor OpenBSD você pode ter um sistema que é muito mais fácil de controlar e manter - e - eu suspeito - mais seguro, pois há apenas 1 caminho possível na Internet para o roteador Wireless.
O que eu proponho uma solução ao longo das seguintes linhas: (Desculpe o diagrama muito rápido)
AidéiaaquiéteracaixadoOpenBSDlidandocomtodooroteamentodetudo.
DesabiliteoDHCPnoroteadorWifi(naverdadedesativetudo,transforme-oemumAccessPoint)eexecuteoDHCPnoservidordoOpenBSDparaasinterfacesprotegidaeGuest.
ColoquecadaInterfaceemumasub-redeseparada(porexemplo,192.168.100.0/24e192.168.101.0/24),demodoque,paraqueomaterialnãoprotegidosecomuniquecomomaterialprotegido(ouomundo),eleprecisapassarporoservidordoOpenBSD.
FaçaofirewallnoroteadordoOpenBSDparaevitarcomunicaçãoindesejada.
Você pode fazer o roteamento de políticas se, por exemplo, você quiser que o roteador Wifi use apenas um dos 2 modems). Claro, dependendo do seu roteador de agregação de Link você pode ter algum trabalho para fazer lá - ou, na verdade, você pode querer se livrar dele completamente e define sua caixa do OpenBSD para fazer o roteamento de agregação .
Eu notei que coloquei a impressora atrás da rede desprotegida Wifi Router. Isso torna a rede protegida mais segura, pois significa que você não precisa permitir conexões da rede desprotegida para a rede protegida. O outro lado é tornar a configuração de impressoras na rede protegida um pouco mais difícil, já que elas não poderão escanear a sub-rede. A alternativa seria colocar as impressoras na rede protegida e permitir que a rede desprotegida acessasse a impressora através do firewall.
Eu notei que fiz isso usando uma placa de rede adicional no servidor do OpenBSD. Uma solução alternativa se a sua impressora for VLAN cpabale seria manter com 2 nic e, em seguida, usar VLANs no switch para designar cada rede. Isso facilita o gerenciamento e requer menos hardware - mas faz a suposição de que as VLANs são seguras - uma suposição que está aberta a questionamentos. Se você seguir esse caminho e tiver uma impressora sofisticada, poderá tornar a impressora acessível por meio das duas VLANs, por isso é fácil de instalar, mas isso depende da impressora e pode não ser prático.
(Eu prefiro muito a solução de VLAN, BTW - Além disso, apesar de ter feito praticamente tudo isso, nunca usei o OpenBSD a sério - minhas soluções são todas baseadas em Linux)