Да и по спеке - это "хак" для поддержания состояния, когда пир за NAT'ом.

Чтобы коннекшен-трекинг не ломал входящий трафик.

“6.5 Passive Keepalive
Most importantly, and most elegant, WireGuard implements a passive keepalive mechanism to ensure that sessions stay active and allow both peers to passively determine if a connection has failed or been disconnected. If a peer has received a validly-authenticated transport data message (section 5.4.6), but does not have any packets itself to send back for Keepalive-Timeout seconds, it sends a keepalive message.”

Сложно это назвать хаком, автор вполне разумно поясняет концепцию заложенную в данную функцию.

Но я допускаю, что мог пересмотреть своё видение.

у вас цель какая? сформулируйте задачу что вам надо и почему.  и тогда уже будете решать четкую задачу, а не какие-то абстрактные хотелки "хотелось бы что-нибудь зарезать"

Задача - запретить клиентам WiFi видеть шары сервера на том же свитче, что и точка доступа.

с поправкой, что свитч управляемый и может разделить эти порты по VLAN-ам

один вариант вам уже озвучен, с засовыванием вайфай в отдельный влан. 2 вариант, накрутить фаервол на сервере

а удастся ли мне при первом варианте сохранить общий DHCP на роутере для обеих сетей (если я правильно понял, что их в этом случае будет две)?

то есть пул адресов у них сейчас общий, и хорошо бы было так и оставить (хотя и не принципиально)

перед тем чтобы что-то сделать, задавайте себе вопрос "зачем я это делаю"

зачем вам сохранять общий пул и dhcp

Цель довольно банальна, приходят разные люди со смартфонами, цепляются за сеть, а что у них там стоит - я не знаю.

ну ок выкиньте вайвай в изолированную сеть и все

какая гостям разница что у них там за адрес будет

ipv6 only им туда запихните и обьясняйте что их телефон недостаточно новый чтобы сидеть на вашем модном вайфае =)

ну для тех кто не сможет получить интернет, но мобилки уже давно могут

Совсем изолировать я их не могу, так как выход в инет у вайфая и провода общий - один роутер. К тому же у меня у самого вайфайный смарт и ноут и нет-нет, да и хочется что-то скачать с сервера. Сейчас на DHCP я побил адреса на кучки 192.168.0.0-127 и 128-255 (правда, опять же, из предположения, что динамика будет выдаваться из первых свободных адресов). И уже собрался было всё настроить на input, пока не вспомнил, что есть этот свитч, который будет всё пропускать через себя, наплевав на мои правила где-то там в роутере )

так для этого VLANы и придуманы, чтобы по одним проводам пускать разные L2 сегменты

вот и я про них вспомнил ) осталось определиться, что сделать затем на роутере, в который придёт 2 разных VLAN

хотя мой вайфайный ноут останется не у дел, ну с этим я смирюсь