Сергей

Подключить то можно, но работать не будет. Два кабеля нужно.
Разьем сдвоеный что-бы вы полярность не путали.

Клиент не будет получать VLAN. Тэгируйте трафик на WiFi коммутаторах или на роутере.
Грубо говоря, вся WiFi сеть будет в одном VLAN-е. если нужно разные VLAN-ы, делайте несколько сетей

Файрвол например. Или ограничение на самом устройстве, разрешено подключаться только с определенных IP.

А что тут проблемного то? Или маршруты не прописаны, или файрвол блочит.
Дайте больше информации получите более подробный ответ

Закройте TCP 53-й порт
Запретите вообще все ДНС запросы из вне

А зачем подменять то? И НАТ ненужен.
Достаточно разрешить хождение пакетов на UR2 и UR3, и задать соответствующий маршрут на них же и на UR1

А сертификат у вас есть? Для SSL сертификат нужен