Izolacia lan klientov

Potreboval by som izolovat klientov na lanke skladajucu sa z niekolkych switchov a blackboxov v bridge rezime.
Potrebujem izolovat iste subnety medzi sebou a nenapada ma ako to spravit. Topologiu menit nemozem, cize manazovatelne switche nepripadaju do uvahy.
Napadli ma 2 riesenie. Arp poisoning, ale tam so si neni isty ako prejde cez seriu za sebou pospajanych switchov (myslim, ze zostane visiet na prvom).
Druha moznost je vpn subnet, ktory odizoluje (aspon dufam) pocitace vo vpnke od zvysku.
Inak som vymlety a nic ma uz nenapada.