Noch ein Update: Leider hat das mit dem alles in einem Subnet nicht wirklich funktioniert. Oben hat man zwar ne IP via DHCP von 192.168.1.1 gekriegt, aber danach hat er 192.168.1.1 nicht mehr gefunden. Manchmal schon, meistens aber nicht.
Hab jetzt wieder zwei Sub-Netzwerke (die Route muss ich überigens nur unten eintragen, oben kapiert er es von alleine, dass an WAN wohl ein anderes Subnet ist).
Ich musste bei der Windows-Firewall bei "erweiterter Sicherheit" unter "Datei- und Druckerfreigabe" beim jeweiligen Netzwerkprofil noch das obige Subnet ("192.168.2.0/24") hinzufügen, damit die oberen Rechner die Windows Kiste (wo Drucker und Daten sind) via SMB und Ping draufdürfen. Von unten kommt man jetzt halt nicht an die oberen Windows-Kisten ran, damit kann ich vorerst leben.
Einziger Nachteil (neben der Tatsache dass die Windows-Firewall standardmässig nur das lokale Subnet zulässt) ist jetzt die nicht über Subnet-Grenzen hinausgehende WINS-Auflösung. Falls da wer ne bessere Idee als IP-Adresse oder hosts-Datei hat, immer her damit.