1. На принтерах обычно есть White-листы, или и разграничивал, когда винда из соседнего отдела по uphp надискаверила себе половину принтеров организации.
2. Маску нельзя трогать только на свичах? По идее, если принтерам не нужен доступ вне, то можно на них жахнуть какую /26 маску, а компы отдела посадить в этот диапазон в /24 маске, тогда принтеры не смогут нормально видеть чужие компы и соответственно ответные, подтверждающие пакеты с них не убегут
3. Костыль конечно, но если на L3 поддерживается фильтры по портам, то можно создать правила запрещающие протоколы печати или ip принтеров между портов
