Wie Rechner vom Intranet teilweise abtrennen?

Managable Switch oder Router, Layer 2/3

Ich möchte 5 ältere Rechner mit NT aus Sicherheitsgründen von unserem Hausnetz trennen, diese müssen aber lokal untereinader vernetzt bleiben und Zugang zu 2-3 anderen aktuellen Rechnern und einem Linux-Server behalten. Die NT's dürfen nicht mehr zu den übrigen Netzteilnehmern, auch nicht zu Mail, WWW, News etc. Zugang haben. Einer der NT's dient noch als Lizenzserver über einen IP-Port auch für neuere XP-Clients.

Der Aufwand für eine klassische Routerlösung, z.B. per Linux mit 2 Netzwerkkarten ist mir zu hoch. Ich will die NT's auch nicht in ein Subnetz hängen.

Gibt es einen kleinen Switch o.ä., der so konfigurierbar ist, dass auf der einen Seite die 5 NT's sind, auf der anderen Seite das Hausnetz und der nur Verbindungen von den 2-3 zugelassenen Rechnern am Hausnetz zu diesen 5 NTs in beiden Richtungen erlaubt, zur Not nur über IP (ftp), plus den Lizenzserver für alle am Hausnetz? Könnte man mit MAC-Adressen dazu arbeiten? Wie kann ich nur den einen Lizenzport zulassen?