[cameron]

Альтернативного мнения нет? »

есть немного развёрнутая идея

куча физических портов, так что можно и обойтись без виланов-транков. Если, конечно, кабеля разведены. »

то есть вместо VLAN'ов вы перераспределяете свитчи так, чтобы в в каждом из них (или каждом каскаде оных) было только своё оборудование, как-то Камеры, Компьютеры, Wifi, Etc. и от каждого такого свитча приводите аплинк в микрот в отдельный порт.
роутинг весь на микроте, соот-но разграничение через ACL зон или что там.

ещё можно попробовать явное указание VID на конечных устройствах, если они это поддерживают.
тут нюансов два:
1. не все железяки умеют в вланы.
2. не все тупые свитчи пропускают влан тэги. это вообще колесо Фортуны, так как что там наколхозили в *линках дядюшки Ляо - тайна для всех, включая их самих.