Как разделить клиентов по разным подсетям?

Шалом, православные. Вобчем, есть самосборная железка с пятью портами. Порт enp1 отдан под WAN, остальные четыре enp2-enp5, соответственно LAN. На железке подняты всяческие DHCP, SAMBA и прочие нужные кошерные вещи. На данный момент enp2-enp5 объеденены в bridge. И тут восхотелось мне клиентов LAN разделить по разным сетям и доступам. Т.е. захотелось, чтоб всё, что висит на enp2 выходило только в WAN. Все, кто подключён к enp3 и enp4 выходили в WAN, видели всякое печатающее, подключённое к enp5, имели доступ к SAMBA. К enp5 подключаются сетевые принтеры и никуда в наружу доступа не имеют.
Собсна, вопрос в следующем. Какими методами можно такое сделать на Debian или Centos? В каком направлении и по каким ключевым словам гуглить?