VLAN и неуправляемые коммутаторы

@anav (или кто угодно другой), на следующей неделе я наконец-то начинаю работать с этой конфигурацией. Я изучил все ресурсы, которые вы выкладывали. Узнал много нового, но до эксперта по сетям мне пока очень далеко. Я решил отказаться от подхода «по этажам», так как не вижу в этом особой выгоды. Вместо этого попытался сгруппировать устройства в зависимости от того, с кем им нужно общаться. Вот мой текущий план. Пожалуйста, посмотрите на вопросы и скажите, всё ли в целом логично. Буду рад любым другим советам.

Некоторые часто используемые термины в тексте ниже:  
HASSIO – RPI4 с Home Assistant OS. На нём же будет работать сервер Rhasspy.  
Rhasspy – локальный голосовой помощник для RPI.  
«общаться с HASSIO» — значит, что HASSIO может читать состояние устройства и отправлять команды. Само устройство к HASSIO не обращается.

Infrastructure (VLAN 1):  
Не знаю, как лучше назвать эту сеть, но по сути тут устройства, которым нужен доступ ко всему и в интернет. Сюда входят: 3 роутера MikroTik, HASSIO.

Вопрос 1:  
Должен ли этот сегмент быть отдельным VLAN, вероятно, по умолчанию это VLAN 1, да?  

Вопрос 2:  
Я всё ещё сомневаюсь, стоит ли выделять HASSIO в отдельный VLAN. С точки зрения файерволла я не уверен, что это даст. Его требования близки к роутерам: нужен полный доступ и интернет.  

Вопрос 3:  
Я собираюсь запускать Rhasspy на том же устройстве, что и HASSIO, хотя с точки зрения безопасности это не очень хорошо. RPI будет запускать сервер Rhasspy, а я сделаю смарт-колонки с RPI Zero, которые будут Rhasspy-спутниками. Предполагаю, что им нужен один VLAN с сервером. Это плохо с точки зрения безопасности, так как не хочу, чтобы все колонки работали в инфраструктурном VLAN. Может, кто-то подскажет, как это правильно настроить? Например, через блокировку портов или ещё как-то, чтобы не покупать отдельное устройство только для Rhasspy отдельно от HASSIO, на NoT VLAN. Я думаю, что Rhasspy нужна связь только с HASSIO, а не напрямую с другими устройствами (например, телевизором). Он слушает команды, передаёт их HASSIO, который уже запускает нужные сценарии (например, с телевизором).

NoT (VLAN 10):  
Простые устройства, которые должны только «общаться с HASSIO». Им не нужно общаться друг с другом или с устройствами других VLAN. Все эти устройства локальные и не требуют доступа в интернет. Сюда входят: Shelly реле, Tuya свет, выключатели, моторы штор, термостаты, датчики… (если удастся запустить без интернета).

IoT (VLAN 11):  
Похож на NoT, но для устройств, которым нужен интернет. Также простые устройства, которые «общаются с HASSIO», не общаются друг с другом и с другими VLAN. Хотелось бы держать здесь как можно меньше устройств, только действительно зависящие от интернета. Сюда входят: контроллер котла Vaillant, Tuya устройства (если без интернета не работает).

Multimedia (VLAN 20):  
Устройства, которые должны «общаться с HASSIO» и с другими устройствами внутри VLAN. Всем нужен доступ к NAS. «Пользовательские» устройства (ПК, ноуты, телефоны) должны уметь им пользоваться (например, передавать контент), но устройства мультимедиа не должны иметь доступ к пользовательским устройствам. Большинство устройств нуждается в интернете, хотя у меня тут есть внутренняя дилемма, о которой ниже. Сюда входят: телевизоры, Nvidia Shield, игровые консоли, AV-ресиверы, NAS, камеры безопасности и дверные камеры с домофоном.

Вопрос 4:  
Мне не нравится идея, чтобы камеры (безопасности и дверные) имели доступ в интернет. Планирую брать камеры с локальным управлением. Хочу, чтобы HASSIO мог стримить с них на телефон или телевизор удалённо, но не хочу, чтобы камеры имели прямой доступ в интернет. Есть ли смысл разбить этот VLAN на два: с интернетом и без?  

Вопрос 5:  
Если разделить VLAN, куда поставить NAS? Нормально ли, если NAS не будет иметь доступ в интернет? Если положить NAS в VLAN с интернетом, то камеры будут должны сохранять записи в другом VLAN.  

Вопрос 6:  
Если возьму отдельное устройство под Rhasspy, стоит ли его поместить в Multimedia VLAN или NoT VLAN?  

Consumer (VLAN 30):  
Устройства, которые должны «общаться с HASSIO», друг с другом внутри VLAN и со всеми устройствами из Multimedia VLAN. Всем нужен интернет. Сюда входят: ПК, ноуты, телефоны, принтеры и сканеры.

Вопрос 7:  
Не обязательно, но было бы здорово иметь возможность выбирать, какие устройства могут иметь доступ к интерфейсу HASSIO (например, только мой проводной ПК).

Вопрос 8:  
Принтеры и сканеры не очень вписываются по коммуникациям (их можно отнести к Multimedia), но удобнее оставить их здесь. Я собираюсь печатать и сканировать только с устройств из Consumer (возможно, с HASSIO). Определённо не нужно печатать с устройств из других VLAN (например, с телевизора).  

Guest (VLAN 40):  
Это исключительно Wi-Fi устройства для гостей (в основном телефоны). Им нужен доступ к интернету, но они не должны иметь доступ к другим устройствам в сети.

Я что-то пропустил, где схема? Я её не вижу. Какие свитчи собираешься использовать? Какая физическая топология (как всё физически подключено) и логическая топология (каждый VLAN отдельно и как они связаны)? Сейчас полно недорогих свитчей с поддержкой VLAN. Для домашней сети подойдут 8-портовые «умные» свитчи, хотя обычно у них слабая защита интерфейса управления (часто только пароль). Но если ты в США, такие 8-портовые гигабитные VLAN-свитчи можно купить меньше чем за 30 долларов.

RB260 (он же CSS106-5G-1S), о котором упоминал @k6ccc, очень универсален. Это мой любимый «wireshark»-тренажёр, потому что его можно настроить так, чтобы мониторить трафик как на стороне WAN, так и LAN, видеть, как трафик меняется из-за NAT-перевода, и какое именно соединение блокирует фаервол. Цена выше среднего, думаю, больше 45 долларов с доставкой. Портов меньше, зато есть один слот SFP, если это для вас важно.