Acabei descobrindo isso.
O VyOS pode usar as opções do dhcpd.conf como parte da definição de uma sub-rede com algo como o seguinte comando:
set service dhcp-server shared-network-name ${networkname} subnet ${subnetip/cidr} subnet-parameters "${exact dhcpd.conf string}"
No meu caso particular, isso se tornou:
set service dhcp-server shared-network-name private-subnet subnet 192.168.4.0/24 subnet-parameters "deny unknown-clients"