Você tem a idéia certa.Internamente, esses dispositivos são switches VLAN com portas expostas, um membro de um único vlan + um computador de porta única para fazer o roteamento entre vlans e configurado para se parecer com um switch mudo e uma porta wan
Se você pode executá-lo, o DD-WRT, por exemplo, expõe o funcionamento interno - normalmente todas as 5 portas - a porta WAN incluída - são portas de switch de VLAN - com outra porta de tronco invisível da VLAN na placa-mãe.
É assim (software permitindo - e a maioria dos softwares não) é possível combinar portas para que elas fiquem todas na mesma VLAN e apareçam como um switch mudo, ou você pode dividi-las em vlans separadas e ter várias "WAN" "portas ou várias sub-redes lan.
É certamente possível conectar a porta WAN a uma sub-rede separada, digamos, a outro switch ou a outro roteador - na verdade, isso e ter uma tabela de roteamento é o requisito principal de um roteador.