Есть простое решение.

С использованием упомянутого здесь ISM vlan.

Идея достаточно проста: создаем отдельный vlan для мултикаста. В нём на l3 создаем primary ip-интерфейс. На этом интерфейсе подымаем pim-sm и igmp. Соответственно на свич доступа (35XX) этот vlan приходит тегированным. Натравливаем на это vlan "igmp_snooping multicast_vlan" и получаем полную развязку от клиентских адресов.

Единствено что, лично не проверял как это будет работать с ограниченным мультикастом (viewtopic.php?t=52915&start=30), да и пока не до конца не понял нужно ли это в этом случае вообще .