так выдавай юзерам в дхцп адреса из
10.4.0.0/24, а потом статику бинди в
10.0.0.0/24На интерфейсе локалки АРП режип поставь в Reply-only
В настройках ДХЦП-сервака установи Add arp for leases
Это даст то что адреса установленые вручную, а не выданые ДХЦП-серваком не будут обслуживаться роутером.