Во вланы нужно выносить машины, которые должны иметь возможность видеть друг друга на L2, но не видеть остальные в той же физической сети. Маршрутизацию нужно строить в таком случае с помощью policy based routing (понятие гуглится, вариант настройки на каждом роутере свой). Условно говоря, исходящие пакеты с какого-то внутреннего IP помечаются флагом, дальше при проверке правил маршрутизации одно из правил отправляет пакет в таблицу с маршрутом по умолчанию, отличным от общего. Обратные пакеты дойдут штатным образом, так как правило NAT-трансляции покажет корректный айпи-адрес. Надо целую группу направить - метим тем же флагом пакеты от всех IP узлов этой группы.
PS: на д-линке и прокси вланы не нужны уже, так как они доступны только через L3.
