Как запретить VLANам видеть друг друга?

Задание: В предприятии 5 этажей, 7 отделов (отдел 1 = 17 узлов, отдел 2 = 204 узлов, отдел 3 = 26, отдел 4 = 123, отдел 5 = 40, отдел 6 = 110, отдел 7 = 176 ), 2 точки доступа. На первом этаже Отделы 1 - Отдел 2 подключен через свитч. На втором этаже Отдел 3 через свитч. На третьем этаже Отдел 4 подключен через свитч. На четвёртом этаже Отдел 4-5 подключены через свитч, Отдел 6 подключен через точку доступа. На пятом этаже Отдел 7 подключен через точку доступа. Один из серверов относится к Отделу 3. Ip для выхода в интернет 149.138.155.2. Ip адреса в интернете из пула 198.216.0.0/20.

Вопрос: для того, чтобы использовать DHCP-сервер, необходимо использовать подынтерфейсы на ближайшем к последнему коммутатору маршрутизатору с соответствующими каждому отделу IP и маской. Для использования NAT также необходимо использовать подинтерфейсы. Как назначить подинтерфейсы без организации межсетевого взаимодействия (инкапсуляции), или как в последующем запретить VLANам видеть друг друга?