[sena_akutsa]

с роутером у которого локальные порта конфигурируются каждый отдельнo возможно ... типа "MikroTik" RB-951 и выше:
дать один порт на одну сеть, второй на другую, и один порт на выход "Модем"

но не знаю если получится Админу "контролировать" каждый из ПК не переключаясь своим каблем к каждой локалке

на курсе мы пробовали такого вида конфигурации с задачей "видить" ПК на соседней сети, но это было с двумя роутеами (каждая группа со своим) и встроенная в Виндовс "Стена" (Firewall) не пропускала пакеты. на учёбе, её просто отключали на всех ПК , но если "Стену" не ставить, будет решето а не защита !!!.

чтобы с одной локалки пользователи не лазели на другую, думаю хватит просто не прописывать этот маршрут в конфигурации роутера