Настройте второй маршрутизатор за маршрутизатором, заблокируйте доступ в Интернет на втором маршрутизаторе

Я хочу заблокировать доступ моих "тупых" IoT-устройств к Интернету, но они должны быть доступны в моей локальной сети.

У меня есть маршрутизатор / модем моего провайдера, и я думал подключить второй маршрутизатор, подключив LAN к WAN второго маршрутизатора. Второй маршрутизатор имеет OpenWrt и может быть широко настроен.

Я нахожу много информации в сети, но нет ответа, который учитывает все переменные, которые я хочу контролировать:

Я хочу - устройства IoT подключены через Wi-Fi на втором маршрутизаторе - устройства IoT, доступные для устройства (читай: google home) на моем главном маршрутизаторе, отправляют им сигнал включения / выключения. - Домашнее приложение для просмотра устройств IoT, когда мой смартфон подключен к первому маршрутизатору для доступа в Интернет.

Управляется ли это двумя маршрутизаторами, как я предложил, и если да, то как, или я должен думать о Vlan?