Ограничение доступа для гостевой сети через /interface bridge filter или через /ip firewall filter

Еще есть через route rules

Код:

/ip route rule add src-address=1.1.1.0/24 dst-address=2.2.2.0/24  action=unreachable

Где 1.1.1.0/24 гостевая сеть и 2.2.2.0/24 приватная.
Так же можно создать 0.0.0.0/0 с маркировкой и в route rule прописать lookup-only-in-table

А еще можно через VRF замутить с утечкой дефолт гейтвея через @main )))

Но это так, к слову.
Гостевую логично выкидывать в отдельную подсеть. Фильтровать через firewall или через route rule от задачи.
Первое гибче, второе чуть легче по нагрузке на CPU

 

Я чаще файрвол использую.
Правило типа
chain=forward in-interface=guest-wifi out-interface=!wan action=drop