Como isolar completamente o WiFi convidado no MikroTik com o RouterOS v6?

Question

Acabei de comprar MikroTik RouterBOARD 952Ui-5ac2nD com RouterOS v6.39.2 (stable) . E eu o configurei com uma rede Guest Quick Set : ativada, a rede WiFi privada tem ACL com filtragem MAC.

Eu também estudei rede no ensino médio, mas isso foi talvez 5 anos atrás, e eu não toquei em nenhuma coisa relacionada a redes desde então. Além disso, usamos dispositivos Cisco lá, e o MikroTik é completamente novo. Mas eu sei o básico sobre redes.

Eu pretendo conectar o NAS à minha rede e não quero que os convidados tenham acesso a ele (e nada na rede doméstica), apenas acesso à Internet. Portanto, quero isolar completamente a rede de convidados, para que os dispositivos:

• estão em uma LAN diferente com um pool DHCP diferente,
• pode acessar a internet por trás do NAT (separado ??),
• não pode acessar mais nada do que a Internet nas camadas L2 e L3 OSI.

O que tudo precisa ser feito para separar o wifi convidado (AP virtual) neste roteador ou o RouterOS v6?