WPA2-PSK de modo misto provavelmente é bom o suficiente, contanto que sua senha seja bem escolhida. Se você realmente não precisa mais de TKIP (WPA "1"), considere torná-lo apenas WPA2 (ou seja, apenas AES-CCMP), porque houve alguns ataques contra o TKIP recentemente.
A filtragem de endereços MAC é uma perda de tempo. Endereços MAC são facilmente descobertos e falsificados. A utilização de um SSID "oculto" (também conhecido como "não-difusão" SSID, a.k.a. "Rede Fechada") também é uma perda de tempo.