LAN de casa segmentada

Actualmente estoy reorganizando mi red doméstica.

La configuración actual es bastante

Evil Internet <--> Modem <--> WiFi-Router <--WiFi--> Printer, Laptops etc.

Hay otros dispositivos en los puertos LAN del enrutador, pero no los estoy dibujando aquí.

Donde quiero ir:

Evil Internet <--> Modem <--> WiFi-Router <--WiFi--> Printer, Laptops etc.
                                             |
                                             +-----> WiFi-Bridge <--Ethernet--> Router (*) <--Ethernet--> Many wired devices

Mis preguntas son:

1.) ¿Es un enrutador en la segunda línea (*) el dispositivo de elección, o puede ser un interruptor? Podría usar los puertos LAN del WiFi-Bridge, pero quiero tener un dispositivo adicional en el medio para aplicar las reglas de filtrado en los dispositivos detrás del WiFi-Bridge.

2.) ¿Ese enrutador (*), o cambiará si va a ser un conmutador, segmentará automáticamente la red en la capa de red? Si no, ¿qué más debo hacer para lograr esto?

Gracias.

Edición: el filtrado es principalmente de salida (bloqueo de anuncios, etc.) en la capa de aplicación (DNS, lista negra de URL, etc.). Inbound, idealmente, nada debería pasar a menos que las conexiones se instiguen desde la propia LAN. Ya sea que se trate de un enrutador doméstico o de nivel empresarial, lo más probable es que sea una caja de Linux independiente con un montón de tarjetas Ethernet.

La elección del conmutador o enrutador depende de si desea una red IP o dos. Hay méritos y fallas para ambos. Según su descripción, un enrutador es apropiado, ya que desea que las funciones avanzadas no estén disponibles en los switches de nivel de consumidor.

La instalación de un enrutador introducirá una segunda red IP, sobre la cual se ubicarán sus dispositivos cableados. tendrá que decidir qué rango de IP desea que use para su LAN y configurar a sus clientes conectados para que usen IP dentro de ese rango (o habilitar la función DHCP de los enrutadores, y configurar un grupo de direcciones).

Si está utilizando un enrutador de PC, debería poder configurarlo como lo necesite, pero muchas personas (incluido yo mismo) han estado bastante molestas, que los enrutadores de grado local casi nunca le permiten apagar el firewall por completo, así que a menos que esté al trabajar con hardware de nivel empresarial, experimentará problemas al establecer una capacidad de alcance bidireccional total entre las dos redes. En particular, los dispositivos con wifi no podrían acceder a los servicios en la red cableada. O tal vez eso es lo que quieres.

La instalación de un switch ampliará la red IP existente para que tenga una red más grande, pero pierde la capacidad de tratar esa parte de su red como "diferente" del resto. Personalmente, esto es lo que hago.