É simples assim. Um roteador separado para os APs tornará as duas redes completamente segregadas.
Os SMB mais avançados e os roteadores corporativos podem fazer isso de um único dispositivo, mas os equipamentos de nível de consumidor geralmente não suportam as VLANs necessárias para isso.