Určitě na routeru.

Na Mikrotiku mám mj. pověšené dva PC s W7/Pro, na každém virtuální XP. Potřebuju, aby byly XP přístupné na LAN, ale nedostaly se jinam. Ani nikdo na ně, jen právě ony dva W7 stroje (z obou na oba). V firewallu routeru jednoduše nastavitelné.

DDWRT (neznám, nemám) to bude určitě umět. Zkus to nastavit třeba nějak takto:

accept forward: source 192.168.1.30, destination 192.168.1.0/24
drop forward: source 192.168.1.30, destination (prázdné)

Snad mě síťaři nesežerou