Как изолировать трафик на портах Mikrotik?

Задача такова:
Есть микротик rb750g
1 порт ван
2 порт подсеть 192.168.10.0/24 - сеть предприятия.
3 порт подсеть 192.168.11.0/24 - публичная сеть, ну допустим хотспот.

Нужно что бы одна подсеть не видела другую.
Сейчас два dhcp на разные порты, без мастер портов и бриджей, но пинг почему то проходит.