ВСЕМ СПАСИБО, кто ответил. Решил следующим образом на Виндовом контроллере домена сделал запрет по MAC для конкретного оборудования и разрешения для всего остального зарезервированного. После этого поднял DHCP на роутере с выделением 5 IP адресов (10.1.10.101-105) и добавил их в ограничения IP и с контроллера домена перестала прилетать раздача на целевое железо, а стали прилетать с роутера с необходимым IP. При этом внутренние ресурсы работают как надо, т.к. он находится в одной подсети