En principio WDS solo admite WEP.

En algún caso, poniendo el mismo nombre a los dos, ha funcionado con WPA2.

El filtrado MAC necesita que autorices la MAC del cliente en el router a cuya wifi se vaya a conectar, no vale autorizarla en el contrario. Es un tipo de filtrado local para cada wifi. Si hablitas la MAC en los dos cubres todas las posibilidades.

LO de poner la MAC de un router en otro para el filtrado no debería ser necesario si ya has puesto la MAC de cada router en el contrario para establecer el WDS. Si uno de ellos lo has dejado con la reestricción de bridge en didabled entonces si sería lógico que debas habilitar la MAC del otro.