PVLAN вроде для этого, но мне лицензия не позволяет его использовать
c pvan не разобрался, вернее не заработало, и оно немного для другого: это изолировать хотсы внутри одного влана, например, в моем случае, есть vm-mgmt-net которую добавляю на все клиенские виртуалки и с нее могу ходить к ним рулить, не боясь, что они друг друга "перезаражают"