Необходимо реализовать изолированную сеть (VMware & Mikrotik)

Здравствуйте.
Дано:
- Микротик 1. На него приходит основной канал. Назовём "Провайдер 1". Используется только как приём и раздача "Провайдер 1". 
- Микротик 2. На него приходит основной канал и приходит резервный канал ("Провайдер 2). Назовём "Провайдер 2". Используется как маршрутизатор для внутренних и внешних сервисов (80, 443, 3389, 53 и т.д.)
Дополнительно на Микротике 2 настроено переключение между провайдерами, в случае, если один отлучился, по какой-то причине.
- VCSA
- Три хоста с esxi на борту
- Сеть x.x.10.x/24 (на Микротик 2)
- Сеть x.x.20.x/24 (на Микротик 2)
- Сеть x.x.30.x/24 (на Микротик 2)

Задача:
- Изолировать пользователей в сети x.x.20.x/24 (на Микротик 2). Изолировать = запретить обращаться на любой адрес в локальных сетях.
- Изолировать пользователей в сети x.x.30.x/24 (на Микротик 2). Изолировать = запретить обращаться на любой адрес в локальных сетях.
- Сеть x.x.10.x/24 может обращаться в любую сеть.
- Добавление нового правила, для нового подключения (RDP или WEB) должно происходить на уровне Микротика, так как процесс автоматизирован и должен происходить без вмешательства администратора. То есть, работа с Микротиком, для добавление правил, происходит через RouterOS API.

p.s.
К обсуждению принимаются любые советы по улучшению. Оба Микротика, для маршрутизации, вот такие – RB3011UiAS-RM.
Возможно есть смысл обновить железки до чего-то более внушительного и настроить всё на одном устройстве, но более мощном.
10-ая сеть работает с live migration и физические хосты подключены к 10G свитчу, вот такому – CRS317-1G-16S+RM
Если коротко о проблеме: при обращении пользователей из одной сети в другую, а так же в рамках одной сети, трафик не выходит за рамки физического хоста. Трафик ходит на уровне хоста. То есть, на уровне маршрутизатора нет возможности прописать правило, которое будет дропать пакеты из одной сети в другую.