Наконец-то я это запустил благодаря этому руководству. Основная идея в том, что нужно внести изменения в файрвол на USG, выгрузить конфигурацию, скопировать новые правила и добавить их в config.gateway.json на контроллере (у меня это cloud key), который потом применит изменения файрвола на USG.

Вот мой пример настроек:  
WAN 2 (IP роутера в настройках WAN): 200.64.2.1  
VLAN3: 192.168.3.0/24  

Я сделал следующее, чтобы настроить гостевую VLAN (которую использует и гостевая WiFi), согласно этому руководству:  
Зашёл по SSH на USG-Pro 4 и выполнил команды (из руководства):

configure  
set protocols static table 5 route 0.0.0.0/0 next-hop 200.64.2.1  
set firewall modify LOAD_BALANCE rule 2500 action modify  
set firewall modify LOAD_BALANCE rule 2500 modify table 5  
set firewall modify LOAD_BALANCE rule 2500 source address 192.168.3.0/24  
set firewall modify LOAD_BALANCE rule 2500 protocol all  
commit; exit  

Проверил конфигурацию, убедился, что всё работает как надо.  
Выгрузил конфиг с USG и перенёс новые правила на контроллер (у меня cloud key). Как редактировать config.gateway.json, смотрите здесь: https://help.ubnt.com/hc/en-us/articles/215458888-UniFi-USG-Advanced-Configuration. Очень советую внимательно прочитать всю статью, чтобы понять, где и как создавать JSON-конфигурацию.

Мой файл config.gateway.json теперь выглядит так:

{
 "firewall": {
   "modify": {
     "LOAD_BALANCE": {
       "description": "LOAD_BALANCE",
       "rule": {
         "2500": {
           "action": "modify",
           "modify": {
             "table": "5"
           },
           "protocol": "all",
           "source": {
             "address": "192.168.3.0/24"
           }
         }
       }
     }
   }
 },
 "protocols": {
   "static": {
     "table": {
       "5": {
         "route": {
           "0.0.0.0/0": {
             "next-hop": {
               "200.64.2.1": ""
             }
           }
         }
       }
     }
   }
 }
}

После того как внесли конфигурацию в config.gateway.json, принудительно перепрошейте USG. Теперь настройки из config.gateway.json на контроллере должны примениться к USG.

Было бы здорово, если бы это каким-то образом добавили в графический интерфейс UniFi, но пока этот способ работает отлично.