Как сделать, чтобы хосты сети не видели друг-друга, а только шлюз?
Вообще-то во многих точках доступа есть опция "Clients isolation" (Wireless isolation, AP isolation и прочие названия). Собственно эта опция изолирует трафик клиентов wifi-сети между собой внутри точки доступа. - https://www.howtogeek.com/179089/lock-down-your-wi...
Теперь нам останется только изолировать сами точки доступа друг от друга. Для этого можно делать VLAN-ы на каждую точку.
Ну а в центр поставить коммутатор(ы) L3, чтобы он(и) разруливали маршрутизацию между этими виланами.
В центр ставим бооольшой (лучше парочку с failover) DHCP сервер, а на коммутаторах настраиваем DHCP-proxy на нужные vlan.
Да, чтобы не заниматься возьней с маршрутами, я бы еще поднял OSPF.
Ах, ну да, в DLINK есть функции Assymmetric VLANS и Traffic Segmentation. Наверное и у других производителей есть подобное.
разбить большой пул на сетки хотя бы по 24 бита и группировать вланами.
более радикально - через AD разлить hips и программный мсэ(можно хоть встроенный виндовый с помощью групповых политик) на каждый пользовательский комп. арпы правда будут доступны, зато выше всё закроете