[ratibor79]

Нет, по умолчанию блочит только 137 и 138 порты. »

Разрешите между VLAN'ами следующий трафика:
135/tcp, 135/udp - RPC endpoint mapper
1024-65535/tcp - RPC dynamic assignment
445/tcp, 445/udp - Server message block (SMB) over IP (Microsoft-DS)
389/tcp - LDAP
389/udp - LDAP ping
636/tcp - LDAP over SSL
88/tcp, 88/udp - Kerberos
53/tcp1, 53/udp - Domain Name Service (DNS)

А вот трафик NetBIOS не будет ходить между VLAN'оми. NetBIOS хоть и протокол сетевого уровня (L2 OSI), но не маршрутизируемый. Работает только в пределах широковещания (Broadcast domain).

137/tcp, 137/udp - Network basic input/output system (NetBIOS) name service
138/udp - NetBIOS datagram service
139/tcp - NetBIOS session service

Для разрешения NetBIOS имён не плохо бы поднять WINS или хотя бы Global Name Zone на DNS сервере, т.е. контролере домена.