Попробуем в Информационную безопасность?
из базового и простого

1) Вход внутрь сети (из интернета) только через VPN, без исключений для начальников и проч.
2) доступ внутрь сети через wifi только для определенных машин
3) доступ в интернет 'для всех' - в отдельной гостевой сети из который в боевую попасть нельзя
и если немного упарываться
4) для каждой машины делать отдельный список доступа с авторизацией через (помоему 802.1X )
выделить отдельный гостевой SSID приземляющий пользователей в отдельный изолированный влан с доступом только в интернет
вайфай с доступом в локалку реализовать через EAP/TLS для чего на убунте настроить freeradius
в локалке выделить сервера в отдельный влан
про unifi router ничего не знаю, беглый гуглеж обнаружил некий USG - unifi security gateway 
если это оно то судя по его названию все политики безпасности дальше пилить на нем
отдельные политики реализовывать на сервисах т.е. 1с фтп и тп

кстати зачем фтп? оно было неудобно еще в 90-е
на ту же убунту водрузи nextcloud

з.ы. фтп, 1с и 90 юзеров ... в таком месте отдельный инфбезопасник застрелится от скуки