VLANs, roteamento e DHCP

Question

Eu tenho a minha rede doméstica funcionando até certo ponto, mas estou tentando melhorar a configuração. Além disso, estou usando isso como um exercício para tentar aprender os detalhes de configurações de rede um pouco mais complicadas.

Configuração atual

Aqui está um breve resumo do equipamento que tenho e como os configurei:

1. Draytek Vigor 2920
   • Aceita duas conexões de entrada de internet (WAN1 e WAN2)
   • Lida com a atribuição de DHCP (e ligação de IP estático)
   • O DynamicDNS e o DNS local
2. Comutador de 24 portas HP (3Com) V2920
   • Conecta todos os dispositivos de rede
3. Ubiquiti UAP AP-Pro
   • Dois deles para acesso sem fio executando 1 SSID
4. Switch POE não gerenciado Netgear
   • Utilizado para conectar câmeras de rede & alimentá-los
   • Conectado ao switch da 3Com
5. Engrenagem do servidor
   • 1x QNAP TS410U para backups do Timemachine
   • 1x Dell 2950 para Unifi Controller e servidor da web

Configuração desejada

Tenho em mente que a melhor maneira de dividir a rede é a seguinte:

VLAN10 - Dispositivos com fio / sem fio (conhecidos) VLAN20 - Servidores VLAN30 - CCTV VLAN40 - Convidado sem fio

Tanto quanto eu posso ver o que eu preciso fazer é:

1. No Draytek Vigor 2920
   1. Configurar 4x LANs
      • LAN1 - 172.16.10.0/24, gateway: 172.16.10.254, DHCP: 172.16.10.1
      • LAN2 - 172.16.20.0/24, gateway: 172.16.20.254, DHCP: 172.16.20.1
      • LAN3 - 172.16.30.0/24, gateway: 172.16.30.254, DHCP: 172.16.30.1
      • LAN4 - 172.16.40.0/24, gateway: 172.16.40.254, DHCP: 172.16.40.1
   2. Configurar 4 x VLANs
      • VLAN1 - marcado como VID 10
      • VLAN2 - marcado VID 20
      • VLAN3 - marcado como VID 30
      • VLAN4 - marcado VID 40
   3. Atribuir todas as LANs à respectiva VLAN (ou seja, LAN 1 - VLAN1 etc ...)
   4. Atribuir todas as VLANs à porta 1 e conectar a porta 1 à porta 1 do switch
2. No HP v2920
   1. Configurar portas
      • Porta 1 - porta de tronco marcada com VLAN10, 20, 30, 40
      • Portas do dispositivo - porta de acesso com associação não marcada de 10
      • Portas do servidor - porta de acesso com associação não marcada de 20
      • Portas de CCTV - porta de acesso com associação não marcada de 30
      • Portas WAP - porta híbrida com VLAN marcado 10, 40
   2. Configurar 4 interfaces de VLAN
      • VLAN1 - 172.16.10.254
      • VLAN2 - 172.16.20.254
      • VLAN3 - 172.16.30.254
      • VLAN4 - 172.16.40.254
   3. Configurar retransmissão DHCP para cada VLAN apontando para 172.16.xx.1 (ou seja, o roteador)

Agora vem minha confusão / perguntas:

1. O que exatamente é o PVID? Para uma porta que lida com várias VLANs, o que você configuraria?
2. Com essa configuração, o fornecimento de "roteamento inter-VLAN" é desativado no roteador, caso as diferentes VLANs possam se comunicar?
3. Se não, como eu iria restringir o acesso para que apenas determinados dispositivos na VLAN10 possam se conectar à VLAN20. Por exemplo, um servidor de arquivos ou um servidor da web.
4. É necessário configurar as interfaces de VLAN e definir o endereço IP do gateway para essas interfaces corretamente?
5. O retransmissão DHCP é necessário?
6. Como deve ser a tabela de roteamento no switch?

Se essa não for a maneira correta de configurá-lo, meu desejo é ter o seguinte:

VLANs divididas como acima, com a capacidade de acessar determinados dispositivos em certas VLANs. Por exemplo, na VLAN de CCTV há um controlador e 4 câmeras. Não há necessidade de permitir acesso às câmeras, no entanto, é necessário ter acesso ao controlador.