Euuuuh... toutes les box proposent le mode bridge, heureusement

et non, ça n'est pas propre. Et surtout, surtout, c'est encore plus compliqué à configurer. Avoir un routeur qui se récupère une IP par le DHCP de la box, c'est à proscrire. Et créer une DMZ pour y mettre son routeur, c'est aussi à éviter.
Franchement, bridge, et config du routeur.
De toute façon, l'OP veut des trucs qui ne sont pas forcément réalisables. Que personne n'ait accès à son LAN alors que la connexion se fait par sa Box ou son routeur, euuuh... Hormis en WiFi et le mode invité... Mais il faudra jouer avec la config, mettre des restrictions par MAC, etc...