Каков наилучший метод достижения изоляции устройства в DMZ?

У меня есть соединение ADSL, которому выделена подсеть / 29, что дает мне 6 используемых IP-адресов. В настоящее время к нему подключен дешевый ADSL-маршрутизатор Netgear со встроенным коммутатором. Подключено 3 сервера, каждый с публичным IP-адресом. Каждый из этих серверов находится в нашей демилитаризованной зоне и имеет второе сетевое подключение к внутреннему брандмауэру, но я не думаю, что это важно для этого вопроса.

Поскольку коммутатор маршрутизатора Netgear настолько прост, каждый из этих трех серверов может получить доступ к другим серверам через коммутатор маршрутизатора. Я требую, чтобы каждый из этих серверов был изолирован от других и не имел к ним доступа.

Я намерен заменить маршрутизатор чем-то более подходящим, например Cisco 1801, который также имеет встроенный коммутатор, но поддерживает VLAN на этом коммутаторе. Однако я не уверен, каков наилучший метод достижения цели. Я не уверен, применяется ли брандмауэр на этом маршрутизаторе к соединениям с его коммутатором или только к маршрутизируемым соединениям. И мне кажется, что здесь должны быть задействованы VLAN, но я не уверен, как это сделать!

Как мне лучше всего выполнить требование ADSL-соединения с подсетью / 29, где подключенные устройства не имеют связи друг с другом?