Подключить маршрутизатор Tomato по WiFi к общедоступному VPN WiFi и оставить локальные WiFi и LAN за NAT?

Question

Я хочу использовать свой маршрутизатор на базе Tomato в качестве шлюза WiFi для внешнего мира, но также использовать внутренний SSID WLAN.

Причина в том, что у меня есть пара устройств, которые я не хочу подключать к внешнему миру WiFi напрямую: я хочу, чтобы они находились за NAT.

Я знаю, что это можно сделать с помощью дополнительной точки доступа на портах LAN0..LAN3 или устройства WiFi CLIENT, подключаемого к порту WAN, но я не хочу добавлять дополнительное оборудование.

Какие шаги мне следует предпринять, чтобы создать такую ​​настройку:

+----------------------------------------+
| WiFi access provider                   |  (for instance FON)
+----X-----------------------------------+
     ^
     |  SSID X (remote WiFi network)
     v
   Wireless Interface eth1
+----X-----------------------------------+
| Tomato 1.28 based router               X WAN port (not connected)
| Asus RT-N66U                           X LAN0 port br0 (not connected)
|                                        X LAN1 port br0 (not connected)
|                                        X LAN2 port br0 (not connected)
|   NAT                                  X LAN3 port br0 (not connected)
+----X-----------------------------------+
   Wireless Interface eth2
     ^
     |  SSID Y (local WiFi network)
     v
+----X-----------------------------------+
| Devices not having LAN connection      |
+----------------------------------------+