Eu tentei criar um diagrama de rede, mas falhei miseravelmente ... Desculpe
Basicamente, o que você quer fazer é obter um roteador com capacidade comercial ou VLAN ou obter um roteador capaz de executar DD -WRT ou OpenWRT firmware, do qual nenhum dos seus roteadores é capaz de acordo com o banco de dados de hardware do site.
A partir deste ponto, há várias maneiras de configurar isso, mas aqui estão algumas regras gerais que eu uso ... Deixe o endereço IP padrão do roteador como "admin VLAN", você não estará acessando de qualquer lugar, mas quando fisicamente conectado à porta 1-3 do roteador (explicarei a porta 4 depois), deixando isso como padrão 192.168.1.0/24 e o roteador sendo 192.168.1.1 para que possa ser acessado para fins de manutenção.
Em seguida, crie as sub-redes / VLANs, o roteador manterá um endereço IP em CADA sub-rede, para que ele tenha vários endereços IP e escopos DHCP. Neste exemplo, usaremos a VLAN 10 para a sua zona "DMZ" (não uma verdadeira DMZ se você tiver hosts regulares, mas funcionará para este propósito) e VLAN 20 para sua LAN privada.
No roteador você construirá a VLAN 10 e atribuirá o endereço IP 192.168.10.1/24 ao roteador e construirá o escopo DHCP de acordo, então faça o mesmo com a VLAN 20 usando 192.168.20.1/24 e outro escopo DHCP para isso rede.
Nas atribuições de VLAN, vá para a porta Ethernet 4 e adicione VLAN 10 e 20 como VLANs marcadas ... esse será o "downlink" para o switch.
No seu switch gerenciável, configure a porta 1 como não marcada na VLAN 1 (você pode ignorar essa parte se a segurança é uma preocupação real, ela se tornaria um problema se houvesse um erro de configuração ou perdesse sua configuração) e permitisse a marcação tráfego na VLAN 10 e 20. Agora mapeie as portas conforme necessário, conforme não marcado na VLAN necessária, para que a porta à qual o seu MS Server está conectado não seja identificada na VLAN 10, a maioria dos usuários será conectada a uma porta de switch definida como desmarcada na VLAN 20.
Neste cenário, o roteador controla tudo relacionado à configuração de VLAN / sub-rede, incluindo roteamento inter-VLAN e encaminhamento de porta (designações "DMZ"), e o switch basicamente trata as atribuições de sub-redes a hosts individuais.
Então, em uma imagem de "texto", seria assim:
Lado da WAN: ISP - > Modem a cabo - > Roteador
Lado de transporte: Porta do roteador 4 (troncalizado com VLAN 1, 10 e 20) - > Porta de comutação 1
Lado do switch: A porta X recebe VLAN não marcado com base na rede necessária
Em seguida, se você precisar expandir, configure outra porta no roteador como a porta 4 e alimente outro outro, ou crie outra porta de tronco no switch com as VLANs marcadas e o downlink para uma porta similar no novo interruptor.
Em nenhum caso há necessidade de dois roteadores nesse cenário. Você pode ajustar os endereços IP e máscaras de sub-rede conforme necessário, os que eu usei são apenas para referência.