皆さん貴重なご意見ありがとうございます。
色々諸事情ありまして、現状の機器で設定できる方法を模索しております。

やりたいことは単純で、一本のインターネット回線を使って2グループ間の通信を遮断したいということです。

現状で可能そうな案としては、WAN側の通常ポートの他にグループ別に保護ポートを2つ用意して、その配下にハブを置く。

または、片方のネットワークの先頭に別のルーターを設置すれば実現できるかも、というところなのですが、
ルーターから上のネットワークへの通信が遮断できるかどうかの判断がつきません。

ちなみに現状の最上位のルーターにはVLAN機能はありません。。