Давай пойдём снизу.
У тебя есть хост с 1 физ. адаптером.
Создан external свич. В него логически включена физическая сеть транковым портом. Никакой фильтрации в этом месте нет.
Есть два гостя:
1) Гость Д(дебиан) ходить наружу не должен. Его включаешь в internal свич (можно даже в private - это только между гостями сеть)
2) Гость Р (роутерОС) должен
2а) ходить в инет. Его включешь одним портом в external свич.
2аа) если нужно, чтобы в физическую сеть его траффик должен ходить с тегом, то в свойствах этого адаптера виртуалки ставишь нужный тег.
2б) общаться с дебианом. Для этого второй адаптер гостя Р включешь в internal (или private) свич.
В госте Р бриджуешь порт internal-свича и eoip.
В госте Р нужен MAC spoofing, так как с VDS будут прилетать фреймы с "чужим" (с т.з Hyper-V свича) маком.
Внутри гостей никакие vlan'ы не делать. Их hyper-v свич не пропустит.
добавлю что можно сделать чтоб свич hyper-v пускал тегированный трафик сразу от гостя, но это только через POSH