Добавил Mikrotik в существующую сеть. Как правильно сегментировать/изолировать?

Никому не нравится бегать за постоянно меняющейся историей. Запишите все требования подробно.  
а. определите всех пользователей/устройства и группы пользователей/устройств  
б. определите все потоки трафика, которые им нужны.  
Кстати, вы управляете маршрутизатором на стороне провайдера или это делает сам провайдер, то есть ISP-модем/маршрутизатор?

Чтобы прояснить, верхний роутер принадлежит владельцам дома, а Hex — вам, арендатору, и у них нет Wi-Fi, но они хотят пользоваться вашим Wi-Fi? Тогда да, вы можете настроить свой Hex-роутер как роутер (двойной NAT) и создать собственные подсети/VLAN. Вы можете выделить гостевые VLAN, которые они смогут использовать, назначив их на отдельные SSID. Их трафик будет напрямую проходить через ваш роутер к их роутеру и дальше в интернет, но они не смогут общаться с вашими другими VLAN/подсетями, так что это не проблема. Пользователи на их роутере не смогут напрямую получить доступ к вашим VLAN/подсетям через ваш роутер — этот вопрос закрыт.

НО! Весь ваш трафик можно перехватить, как только он покинет ваш роутер, так как он больше не будет находиться в VLAN. Если вас беспокоит, что кто-то может следить за вашим трафиком, у вас нет защиты после выхода из роутера. Я не совсем понимаю, как именно это происходит, но они легко могут видеть, куда вы заходите, и, возможно, даже содержимое (я не хакер, так что точно не знаю). Единственное, что, скорее всего, не видно — это HTTPS и прочие защищённые протоколы, а сейчас почти весь интернет-трафик именно такой. Не уверен насчёт почты... Например, шифруется ли Google Mail?

Единственный способ обеспечить полную конфиденциальность — использовать VPN в своём роутере для всего интернет-трафика. Wireguard на VPS — один из вариантов, или можно подключиться к другому другу по Wireguard, если у друга есть современный роутер с поддержкой Wireguard.