Самый эффективный способ — отбрасывать трафик на входящем соединении к интерфейсу ERX-2 switch0. Из CLI на ERX-2:
set firewall name LAN_IN default-action accept
set firewall name LAN_IN rule 10 action accept
set firewall name LAN_IN rule 10 state established enable
set firewall name LAN_IN rule 10 state related enable
set firewall name LAN_IN rule 20 action drop
set firewall name LAN_IN rule 20 state invalid enable
set firewall name LAN_IN rule 30 action accept
set firewall name LAN_IN rule 30 description 'Allowed'
set firewall name LAN_IN rule 30 destination address 192.168.1.150
set firewall name LAN_IN rule 40 state new enable
set firewall name LAN_IN rule 40 action drop
set firewall name LAN_IN rule 40 destination address 192.168.1.0/24
set firewall name LAN_IN rule 40 state new enable
commit;
set interfaces switch switch0 firewall in name LAN_IN
commit;save;
sudo conntrack -F
exit

ClientX 10.0.0.x хочет поговорить с ClientY (192.168.1.150)? Соответствует правилу LAN_IN 30, принимаем, маршрутизируем через ERX-2 eth0 с маскированием. ClientY видит входящее соединение с WAN IP на ERX-2 eth0. ClientY не знает и не видит сегмент 10.0.0.0/24. ClientX 10.0.0.x хочет поговорить с ClientZ (192.168.1.123)? Соответствует правилу LAN_IN 40, отбрасываем. Соединение не устанавливается. ClientX 10.0.0.x хочет поговорить с Интернетом (1.1.1.1)? Соответствует default-action LAN_IN, принимаем, маршрутизируем через ERX-2 eth0 с маскированием.