Minha empresa está analisando o mesmo problema. A menos que eu leia algo melhor aqui, nós estamos indo com 2 roteadores sem fio Linksys .... rodando DDWRT.
Gostaríamos de ter o AP público desativado automaticamente durante o horário não comercial, bem como cego à nossa rede. Seria totalmente aberto, mas pode ter um portal de boas vindas via wifidog (que, graças ao serverfault, descobri corre bem com DDWRT).
O roteador da equipe não transmitirá o SSID e usará o reconhecimento de endereço MAC, estará disponível 24 horas por dia, 7 dias por semana e funcionará bem com a nossa rede.