Так обычно делают на этапе перестроения сети с полностью неуправляемой архитектуры к управляемой. В случае проблем сеть падает строго отведёнными блоками, минимизируется риск положить всю сеть
Такое бывает оправдано, когда не требуется особой логической изоляции, но все еще нужно резать флуд и уменьшать фалт домены. И броадкаста будет не шибко много и если петлю соберут то не утащат много за собой
это всё замечательно, конечно, но как клиенту сертификат привязать? создать свой сертификат, подписать корневым, выгрузить, установить на клиенте? при отзыве он не подключится?