Innbox+mikrotik // ločitev privat mreže od "javne"

Pozdravljeni,
Telekomov Innbox bi rad uporabil kot WiFi AP za privatno mrežo, na enem izmed portov pa bi šel ven s trunkom, na katerem bi preko par Mikrotikov omogočil dostop do IPTV ter guest WiFi omrežja, na tem omrežju pa ne želim dostopa do privatne WiFi mreže.
Situacija je boljše razvidna iz naslednje slike:

Na kakšen način bi na Port5 na prvem mikrotiku preprečil dostop do privatne mreže?
Drugo vprašanje - ali SiOL BOX potrebuje IP, ki ga določi Telekom ali potrebuje samo dostop do interneta in lahko IP pridobi od mojega DHCP strežnika?
Ali bi šlo tako, da na mikrotiku naredim bridge met Port1 in Port5 na VLAN 3999, za untagged promet pa naredim NAT med Port1 in ostalimi? Razmišljam narobe?
Na lokaciji sami ne bi rad porabil preveč časa z eksperimentiranjem, zato bi rad imel pripravljen načrt vnaprej.
Ker je privatni del mreže ter vozlišče kablov že obstoječe, nimam možnosti fizičnega prilagajanja pozicij.
Hvala že vnaprej za kakršnokoli pomoč pri realizaciji.
Lp matej

mte je 2. maj 2020 ob 10:13 izjavil:

Na kakšen način bi na Port5 na prvem mikrotiku preprečil dostop do privatne mreže?

Nastaviš Firewall pravilo: če je source port eth5, destination tvoj privat subnet, je akcija drop.