Uma boa maneira de fazer isso é com a participação controlada da VLAN. Dessa forma, você pode separar coisas como redes de armazenamento de redes de acesso geral. Dessa forma, você também não mescla um monte de sub-redes no mesmo domínio de broadcast, o que geralmente é bastante indesejável (pelas razões que você colocou acima - sem isolamento).