Se non ho capito male la configurazione in questione è del tipo:

INTERNET (WAN) <----> ROUTER + HUB <----> AP

Quindi, sebbene la classe di indirizzi coincida tu hai due sottoreti LAN distinte:
1 LAN connessa al Router e 1 LAN connessa all'AP.

Per un dispositivo di accesso si distinguono due reti:
1 LAN (rete interna) ed 1 WAN (rete esterna, di solito internet)

Per cui:
- per il router la LAN è tutto ciò che è connesso all?HUB (AP e dispositivi connessi all'AP inclusi), mentre per l'AP solo i dispositivi direttamente connessi a lui sono una LAN (anche se poi la LAN del router è direttamente raggiungibile perchè hanno la medesima classe/netmask).
- per il router la WAN è internet, mentre per l'AP è tutto ciò che c'è a monte, quindi sia Internet, che la rete LAN direttamente connessa al Router.

I dispositivi di accesso sono concepiti affinchè blocchino le connessioni all'interfaccia di amministrazione provenienti da ciò che per loro è WAN...

In questo caso per entrare attraverso un PC collegato in qualche modo al Router (sia in locale che in remoto sulla WAN del router), devi abilitare nell'AP la voce che permette le connessioni remote a tale intertfaccia...

Non so se sono stato chiaro...