Debería poder controlar esto a nivel del núcleo con sysctl . Desactivar los valores de reenvío de net.ipv4 y/o net.ipv6.
net.ipv4.conf.all.forwarding = 0
net.ipv4.conf.eth0.forwarding = 0
net.ipv4.conf.eth1.forwarding = 0
Dependiendo de la distribución, puede configurar esto al inicio editando /etc/sysctl.conf o agregando un archivo en /etc/sysctl.d. Normalmente, el reenvío está deshabilitado de forma predeterminada, por lo que es posible que tenga una línea que habilite el reenvío.
Algunos constructores de cortafuegos habilitarán o deshabilitarán el reenvío según la configuración.
iptables -A FORWARD -i eth0 -o eth1 -j DROP debe hacer lo que está solicitando.