>>127
旧構成は、
[光]-[ONU]-[ルーター]-[ヤマハSW]　でマルチプルVLAN、その下に
…[グループA]　　…[グループB]　という感じでした。

案１としては、
[光]-[ONU]-[ルーター]-[シスコSW]　でPVLANエッジ、WAN通常ポート（共用）、その下に
保護ポート１-[SW]…[グループA]　　保護ポート２-[SW]…[グループB]
これだとポートがかなり余るので、対面的にあまりやりたくないところです。

案２としては、
[光]-[ONU]-[ルーター]-[シスコSW]　で設定なし、その下に
…[グループA]　　[ルーター]…[グループB]
これでグループABの通信が遮断できればいいのですが。

最上位ルーターの型番は失念しましたが、VPN機能あり程度の旧式です。