ASPI

MITM атака 90%
Школьник думает что wpa2 ему по силам, посылает пакеты которые заставляют клиентов отключатся от точки доступа, чтоб собрать пакеты аутентификации для анализа на выявление пароля.
Тех поддержка микротика (которая вполне умеет русский язык читать (писать правда транслитом)) просит доступ до роутера в тот момент когда такая петрушка начинается. Случай ваш не частый, но не единичный.

Про потерю какого доступа идет речь? winbox умеет без IP адресов коннектиться к микротику.
В вашем случае вообще можно было не задавать на SXTшках IP адреса, а сделать прозрачный бридж (192.168.203.70 получите через 2км на ether1 второй SXT - фактически беспроводной удлинитель витой пары будет).
Я сделал бы так, домашняя сеть wlan1 гостевая на virtual AP - wlan2, оба в бридже локальном,
адресация одна, но трафик что через wlan2 либо помечать, и запрещать в домашнюю сеть (и шейпить) или запрещать просто интерфейсом.