Hallo Sabine,
also das mit den APs verbieten ist denke ich das einfachste.
Vielleicht erreichst du das ja schon wenn du n Firmware Update machst. Layer2 Isolation
Alternativ, schon mal versuch, ist mal ein Gedanke, wenn du in der Firewall sagst
von BLAU ==> Port 21 ==> 21 ==> BLAU = verweigert ob das geht?
gruß