Тогда это делается в /interface bridge filter in interface ваш подопечный, out interface !ether1(если на нём поднят инет) action = reject. Как-то так попробуйте. На всяк случай, включаем safe mode на время настройки, я на бридже не настраивал правила, мало ли что не так пойдет)