Подключить Tomato router через WiFi к общедоступному VPN WiFi и оставить локальный WiFi и LAN позади NAT?

Я хочу использовать маршрутизатор на основе томатов в качестве шлюза WiFi для внешнего мира, но также использовать внутренний SSID WLAN.

Причина в том, что у меня есть пара устройств, которые я не хочу подключать к внешнему миру WiFi напрямую: я хочу, чтобы они были за NAT.

Я знаю, что мог бы сделать это с помощью дополнительной точки доступа на портах LAN0..LAN3 или устройства КЛИЕНТА WiFi, который подключается к порту WAN, но я не хочу добавлять дополнительное оборудование.

Какие шаги я должен предпринять, чтобы выполнить такую ​​настройку:

+----------------------------------------+
| WiFi access provider                   |  (for instance FON)
+----X-----------------------------------+
     ^
     |  SSID X (remote WiFi network)
     v
   Wireless Interface eth1
+----X-----------------------------------+
| Tomato 1.28 based router               X WAN port (not connected)
| Asus RT-N66U                           X LAN0 port br0 (not connected)
|                                        X LAN1 port br0 (not connected)
|                                        X LAN2 port br0 (not connected)
|   NAT                                  X LAN3 port br0 (not connected)
+----X-----------------------------------+
   Wireless Interface eth2
     ^
     |  SSID Y (local WiFi network)
     v
+----X-----------------------------------+
| Devices not having LAN connection      |
+----------------------------------------+