暫定処置として、上位ルータでFONルータからはFON認証とVPNしか通さないようにして、
私のAPを使う人は各自で自分でどこかへVPNしてね、っていう運用はどうだろう？

この場合、端末レベルでVPNする必要があるので、利便性は落ちるが、次善策。