Routováním to nevyřešíš, tady to musíš zafirewallovat.
Trochu komplikace je, že tu jednu síť nemáš na fyz. interfacu, ale na switchi s druhou sítí. Osobně bych to řešil tak, že na druhém routeru bych s NATem nastavil pár pravidel se zakázáním inbound paketů ze zdroje 192.168.1.0/24 a stejně tak zakázáním outbound paketů do 192.168.1.0/24 (nebo klidně víc, není důvod routovat ven privátní sítě). Bacha ať si ale nezakážeš traffic na bránu...