Ich weiß nicht, was für ein Router es ist. Aber die meisten SOHO-Router verfügen auch über Access-Listen. Darüberhinaus vergibst Du eine feste IP-Adresse per DHCP, gebunden an die MAC-Adresse des Gast-Laptops. In der ACL trägst Du dann halt ein, dass nur diese IP-Adresse mit den IP-Ports 80 und 443, sowie ICMP Echo-Request/Reply/Unreachable ins Internet lässt oder erstellst halt einen Negativliste, mit der Du den Zugriff von dieser IP auf alle internen privaten Netze verbietest. Ein großes Problem seh ich in der Hinsicht nicht.
Mit nem Cisco-Router oder einer OpenWRT-Kiste würden mir da ansonsten auch noch zig Lösungen einfallen 