Запретить доступ из одной подсети в другую
 

Здравствуйте, такая ситуация у меня 2 разных офиса:
Стоит роутер Draytek Vigor2930, он является основным роутером через который все выходят в интернет. Его локальный IP 192.168.1.1 от него тяну кабель в соседнее здание и ставлю там TL-WR841N(tp-linkru.com/products/details/cat-9_TL-WR841N.html).
Ему в "дырку" WAN вставляю кабель настраиваю :
Тип подключения WAN - динамический IP
Шлюз - мой Draytek Vigor2930 с IP 192.168.1.1.
Локальный IP адрес TL-WR841N 192.168.0.1, прописываю в настройках DHCP раздавать IP с 192.168.0.100-199.
Все работает отлично, интернет пашет везде и все довольны, но...
понадобилось настроить их так, чтобы пользователи получившие IP от TL-WR841N (192.168.0.100-199) не видели подсеть Draytek Vigor2930(192.168.1.2-255), а пользователи Draytek Vigor2930 наоборот видели все и всех. Дело в том, что у меня сейчас в точности да наоборот, не подскажете в какую сторону копать?

создать на Draytek отдельный Vlan/Security Zone с адресом на интерфейсе 192.168.0.1
настроить на Draytek DHCP для этой сети.
выключить DHCP на тплинке.
подключить в этот порт ваш тплинк, портом LAN.
создать в Draytek правила для Source NAT новая_сеть-интернет.
создать в Draytek правила в фйаерволе разрешающие траффик 192.168.1.0/24->192.168.0.0/24

Смысл понятен, спасибо за толчок в нужную сторону, но не подскажете касательно 1-го пункта
как это сделать?

вы будете сильно удивлены, но достаточно открыть документацию.
http://www.draytek.com/index.php?id=...item#downloads
файлик
UG_Vigor2930_V2.0.pdf
применительно к этому вопросу - страница 49 и далее.