1. nepotřebuješ, bo NAT.
2. Pokud máš nějak nestandardně řešený FW (což nepředpokládám), nebo chceš zabránit nakaženým PC v e své síti komunikovat do netu, stačí vyblokovat porty 135-139 a 445 ve forward tabulce
3. pokud jsi to myslel v rámci LAN, tak tam ti je MKT k ničemu... Leda bys použil ebtables, ale to si nedokážu představit, jak by to ten procesůrek zvládal.