Vice mikrotiku v siti a kde nastavit firewall

V siti router a dva hAP. Vse mikrotik. Na obou hap zridim guest wifi oddelene v jine podsiti. Takze mam celkem 3 podsite. Ethernety hapu jsou ve stejne podsiti jako router. Pokud nepouziju vlan tak musim nastavit firewal pro oddeleni subnetu na jednotlivych hapech? A pokud bych pouzil vlany tak to staci oddelit hromadne na routeru a na hapech netreba? Diky