Не совсем ясно, зачем скрытая сеть. Кто захочет - увидит ssid. Вам стоит отделить все iot от самих себя и от основной сети. Это делается vlan. Нет его, нет изоляции.

А vlan соответственно только через другой роутер/openwrt, другого пути нет?

Точка доступа как правило позволяет под каждый ssid свой vlan делать и гнать транком выше. Зависит от оборудования конечно же