Buenas @almolo
Es muy mala idea tener dos servidores DHCP corriendo para asignar a la misma red. Es algo que siempre se debería de evitar.
Si lo que quieres es tener dos redes totalmente independientes, usa dos redes independientes, ya sea con dos segmentos de red distintos o a través de VLAN. En teoría el ASKEY lo permite y digo en teoría porque en la práctica nunca me he puesto a pelearme con él...
La idea es "sencilla", separar la conexión de invitados del bridge y crearla como un grupo nuevo (no recuerdo como se llamaba ahora mismo la opción de memoria). Una vez creado el grupo nuevo, podrás seleccionarlo en LAN y asignar una red diferente a la principal. Pero repito, eso es teoría, las opciones están, otra cosa es que te lo permita hacer o no de fallos.
Otra opción como apunta el compañero @zobex es, si por el motivo que sea tienes que usar un servidor DHCP, compra cualquier switch y listo, te creas una red independiente con todas las de la ley y que el servidor Windows rutee.
Técnicamente hablando, sí, sería posible configurar el Router para que las asignaciones DHCP sólo las asignase a la interfaz WIFI invitados, o lo que es lo mismo, bloquear el tráfico DHCP hacia abajo. Seguramente, precisamente porque usas la red de invitados WIFI, es necesario tener habilitado el servidor DHCP, porque dicha interfaz se quiere que sea independiente, y el Router la separará del Bridge principal, con lo que las peticiones DHCP de abajo no le llegan.
Puedes Crear filtros nuevos en el FW, que eso si lo permite la interfaz Web. Presuponiendo que la red WIFI invitado la segrega del bridge principal puedes hacer un pequeño truco... siempre y cuando esa presunción sea cierto claro. Primero creamos una regla general que afecte a br0 y podemos llamar bridge, tipo egress (saliente) y que tenga por defecto una política de permitir todo. A este momento realmente no afecta en nada, pero eso permite ahora especificar filtros sobre dicha regla.
Acto seguido solo tendrías que crear un filtro sobre dicha regla para bloquear las respuestas DHCP. Con eso debería, en teoría repito, bloquear las propias respuestas DHCP que el mismo router genera hacia abajo, y en teoria, no afectar a las que asigna a la red invitado.
Por privado solo asuntos privados, para lo demás la comunidad."El conocimiento nace del desacuerdo"
