Al poner la Time Capsule en modo Bridge, estás desactivando el NAT, y las operaciones IP.
La posibilidad de que los invitados puedan llegar a Internet pero no puedan acceder a la red doméstica era el resultado de las reglas de acceso que establecían que el rango de IP que soporta la red de invitados no puede hablar con la otra red interna. Es posible hacer tal cosa usando una tecnología conocida como VLANs privadas, pero no creo que la Time Capsule tenga ese sofisticado código. Así que, cuando ponemos nuestro router en modo puente, nos convertimos en una red puenteada ethernet de capa 2 - que está puenteada con el Punto de Acceso - dentro de una red IP.
No parece haber el código necesario para hacer la separación y seguridad de la capa 2 (ethernet/wireless ethernet). Se puede hacer, pero aparentemente no en la Time Capsule.