Parece que a abordagem mais simples aqui é usar dois pontos de acesso sem fio separados, em canais diferentes com diferentes SSIDs. Bloqueie o seu privado pelos métodos usuais (não transmita SSID, use segurança WPA, etc.). Em seguida, faça algo como uma configuração de hotspot de coffee shop no aberto, com uma autenticação de senha simples. Em seguida, conecte o ponto de acesso público à DMZ de sua rede regular e use as regras de firewall para permitir apenas o acesso ao mundo externo.
Este provavelmente seria um projeto divertido de configurar usando algo como DD-WRT ou Tomato em alguns pontos de acesso sem fio domésticos baratos. Obviamente, você pode querer investir em mais equipamentos "empresariais", mas uma prova de conceito seria muito rápida e fácil de implementar.