Pokud bys to chtěl omezit routováním, tak bys musel dát routu všem stanicím na síti 192.168.2.x aby pro síť 192.168.1.x používali přímo lokální síť nebo nějakou smyšlenou gateway.

Pokud nemá nikdo ze sítě 192.168.2.x důvod nastavovat ten první router, tak klidně může blokovat celý prostor 192.168.1.0-255 ve Win terminologii: síť 192.168.1.0 s maskou 255.255.255.0. Linuxovou terminologií to už Marty napsal. Pakety skrz bránu tím nezamkne, protože cílová adresa bude nějaká z internetu a brána je jen prostředník na trase...