Nejlepší řešení: VLAN - je to jednoduché a přímočaré a hlavně naprosto nezávislé na tom koncovém bodu. V podstatě si jen nastavíš trunkporty na MKT a switchi a jeden vyhradíš té separátní VLANě. Další konfigurace je už poměrně jednoduchá (v podstatě jen druhý DHCP server, přidat druhou VLAN do LAN interface list, nastavit zákaz routování mezi VLANama)
Pokud chceš jít cestou "jen" jiné sítě: tak to mu už můžeš IP nastavit rovnou napevno a sebrat admin práva (to je ovšem podmínka nutná). Ale stejně nezabráníš tomu, aby někdo to zařízení odpojil a připojil si tam své.