Strabbo

или я не прав?

ты прав

или просто вкорячить ещё 1 Zywall и сидеть пердеть не париться

много плюсов за этот вариант

P.S. Можно и без вланов

EOIP tunnel должен вам подойти

Невоможно, если почитаете спецификацию WS-C4948E-F, то увидите что он может обрабатывать очень мало маршрутов по сравнению с full-view

Дмитрий, у 6 порта видно, что role=root-port designated-bridge=0x4000.CC:2D:E0:2E:FB:AF этот этот порт одключен скорее всего к свичу А.
у 7 порта видно, что role=designated-port этот порт идет скорее всего на свич Б. В таком случае при дефолтных настройках свич Б, чтобы добраться до свича А использует линк, который подключен к GW. В таком случае у вас будет петля. Нужно добавить Линк между свичом А и Б, таким образом свиЧ Б заблокирует линк, который идет к GW и сделает его резервным. В вашей схеме я бы отдал роль Root GW, оттуда начинается дерево и втаком случае не придется добавлять линк между А и Б. Можно и без добавления линка пошаманить с настройками рстп и получить желаемый результат, но чем сложнее конфиг, тем сложнее в дальнейшем с ним разбираться.

P.S. Это всего лишь предположения исходя из представленного конфига, для точного диагноза нужно проверить мое предположение на свичах А и Б.

Тут вам VRRP не нужен. VRRP для других целей предназначен, а у вас другая задача. Я бы на вашем месте настроил динамическую маршрутизацию между двумя роутерами, когда у одного выключится основной интернет он начнет бегать в инет через второй роутер. OSPF и IP SLA будет достаточно.

Везде где есть возможность всегда лучше делать резервирование на уровне L3. Таким образом вы уменьшите броадкаст трафик и избавитесь от риска L2 петель. + Используя роутинг трафик лечге балансировать, чем на L2 уровне. Чем меньше STP у вас в сети, тем лучше вы спите :)

Netflow вам в помощь, понадобиться сервер куда будете выгружать. На сервере нужна тулза, которая будет обрабатывать всё что пришло. Можно написать свою тулзу или можете использовать готовые решения, например это, если не сможете вывести на сайт, то есть уже готовый продукт.

Используется в ebgp, когда пиры не подключены друг к другу на прямую. Часто используют когда у клиента dual homed схема и bgp надо поднять на лупбеках

На исходящий трафик нужна политика Local_Pref или BGP Weight, чем выше значение, тем оно приоритетнее. Входящий можно регулировать с помощью AS_Prepend, чем больше АС в списке, тем путь менее приоритетнее. Например можете сделать так: AS1 > AS2 > AS3 > AS4 >AS4 >AS4 в этом примере ваша AS это AS4.

Если роутеры подключены напрямую, то можно и без тунеля. Если они в сети интернет и связываются друг с другом с помощью ipsec туннеля то всё будет зависить от типа туннеля.
Дело в том, что RIPv2 и OSPF используют мультикаст, а простой site2site ipsec вроде не поддерживает мультикаст (насколько я помню, поправьте если я не прав.) Вам понадобиться поднять IPsec, ав нём прокинуть GRE или IPIP туннель и в них уже гонять динамическую маршрутизацию. RIP и OSPF включаются просто, просто включите их на всех интерфейсах, которые будут маршрутизироваться + тунельные интерфейсы

Вам нужно использовать атрибут time в правилах фаервола.
time (time-time,sat | fri | thu | wed | tue | mon | sun; Default: ) -Allows to create filter based on the packets' arrival time and date or, for locally generated packets, departure time and date
Подробнее

Для этого придумали PIM

Возможно, если только траффик будет проходить через этот свич.

Если надо заблокировать сайты, а не URL-ы, то можно и без прокси. Блокировать по днс regexp или по regexp искать SNI. микротик всё это умеет. Микротик умеет time based ACL, так вы можете указать время когда будет можно или нельзя заходить на конкретные сайты.