目前的網路架構長這樣

藍框處是一間辦公室，有一條網路線到 24PortSwitch 那邊。
紅框處是線路、設備設定及接孔都不能動的部份。

我想做的是加裝上圖所示的 Wifi 分享器，
設定 WAN 為 IP: 10.1.1.103 / MASK: 255.255.255.0 / GW: 10.1.1.254
LAN 是 192.168.1.1/24
透過分享器上網（接線或無線）的設備都使用 192.168.1.X 的 IP
但不讓這些設備連線到 10.1.1.X 網段裡的設備（包括 10.1.1.101 及 10.1.1.102）

問題 1. 我要買具備什麼管理功能的分享器才能做到？

有試過 TP-Link Archer C80 及 ASUS RT-N12+。
TP-Link 那台找不到相關的防火牆設定，但設路由好像也不能解決..
ASUS 有 網址過濾、關鍵字過濾及網路服務過濾，試了一下也沒辦法，如果網路服務過濾可以設定子網段或所有通訊 Port 的話說不定可以？

我認知可能是要買有 ACL 功能的，還是有沒有其他商規產品適合用來處理的？

問題 2. 如果把 8PortSwitch 換成 FortiGate 60E，要怎麼設定才對？

因為手上剛好有一台 60E，想說用這台應該能解決，但一直設定不出我要的結果。

我把 Internal 設成 10.1.1.100, 把 101, 102, 103(wifi) 都接到 Internal, 24PortSwitch 來的線也是接在 Internal。

然後設定 IPv4 政策 2 條
介面: Internal to Internal 來源: 10.1.1.103/32 目的: 10.1.1.0/24 動作: 阻擋
介面: Internal to Internal 來源: 192.168.1.0/24 目的: 10.1.1.0/24 動作: 阻擋

結果還是無法阻擋分享器或透過分享器連線的設備連線到 10.1.1.X

甚至設定
介面: Internal to Internal 來源: 10.1.1.103/32 目的: 0.0.0.0/0 動作: 阻擋
介面: Internal to Internal 來源: 0.0.0.0/0 目的: 10.1.1.103/32 動作: 阻擋

也無法阻止任何連線 orz .. 是不是本來就不能設定 Internal to Internal？

我後來是把Internal介面拆兩塊(A,B)
A 是 10.1.1.0/24, B 是 192.168.100.0/24

設定 IPv4 政策 3 條
介面: B to A 來源: 192.168.100.0/24 目的: 10.1.1.0/24 動作: 阻擋
介面: B to A 來源: 192.168.1.0/24 目的: 0.0.0.0/0 動作: 允許
介面: A to B 來源: 0.0.0.0/0 目的: 192.168.1.0/24 動作: 允許

的確是可以做到我要的結果但 ... 把 FortiGate 放在藍框的辦公室那邊我覺得很怪 x_x
我理想的解決方式是...有一台 Wifi 直接就能做限制，我就接在8PortSwitch後面就好
或者是把FortiGate60E接在24PortSwitch那邊, 但只管理藍框辦公室那條線這樣

總覺得我目前的方向是錯的所以找不到達成理想解決方式的方法...