Você poderia usar VLANs e configurar cada host em sua própria rede privada (RFC 1918) / 30, presumo que o Vyatta possa lidar com várias redes NAT por trás dele. Então, cada máquina terá que passar pelo roteador (provavelmente o Vyatta) para conversar com o mundo exterior e com qualquer outra máquina. Você poderá configurar facilmente regras de firewall e, por si só, as máquinas serão isoladas e incapazes de se conectar diretamente a qualquer coisa, exceto ao roteador.