Obtenha um comutador que suporte a marcação de VLAN. A VLAN garante o isolamento de L2 entre seus dispositivos, para que eles não possam se comunicar entre si.
Os links TP são muito baratos. Eu uso o TL-SG108E em casa. O link abaixo mostra como configurar a marcação de VLAN em um comutador TP-link. Tente a VLAN baseada em porta.
Coloque os dispositivos que devem poder acessar um ao outro na mesma VLAN.
Os dispositivos restantes que devem acessar somente a Internet devem estar em uma VLAN individual.
A porta do switch que está conectada ao roteador deve ser marcada com todos os IDs de VLAN implantados, pois cada dispositivo deve poder acessar a Internet.