Mikrotik: как правильно изолировать подсети?

Имеется 2 Микротика RB 3011, между ними поднят l2tp-туннель с IPsec, правила NAT настроены, все работает, все хорошо, но на МТ1 имеется подсеть 192.168.1.0/24, на МТ2 подсети 192.168.1.0/24 и 192.168.100.0/24.
Вопрос: возможно ли на МТ2 изолировать подсети 1.0 и 100.0 друг от друга и с МТ2 из подсети 100.0 направлять трафик в сеть 1.0 через l2tp туннель на МТ1?