Сергей

Вот этой информации вам будет просто за глаза, у самого когда то была примерная схема (в детали вашей не вникал) но все это осталось на прошлой работе.

В кратце, нужно создать все виланы на ядре, и на нужных вам железках уровня доступа, далее на нужно порту прописать какие виланы он обслуживает, у меня трафик со всех виланов прилетал на 1 порт, так как 2011 был ядром, а в качестве уровня доступа и распределения были CRS125-24G-1S-RM там я вилан поднимал по макам, так как все порты были задействованы, стояло их у меня 2 штуки, а на конечных точках в кабинетах мог приходить с него 1 провод и раскидываться по машинам Des-1016 например... поэтому по портам я к виланам привязку сделать не мог.

Вот собственно и все.

Парвый вопрос, нафига? Если на сервере куда мы стучимся по ван и так уже есть интернет
маршрутизацию в школе учили????

1. Настраиваем коннект с микротика до VPN (L2TP, PPTP) в соответствующей вкладке
2. На VPN Сервере говорим что весь трафик по порту скажем 80 маршрутизировать через адрес микротика (на впн сервере прописать маршрут до адреса микротика через тунель)

Да конечно по такой писанине что куда бегает понять не возможно, попробую догадаться:

1. Ether1 = WAN
2. Ether2-Ether5 = Local (ихх лучше прилинковать сделав 2 порт мастером остальные слейвом, бридж работает медленней
3. DHCP перенести на микротик, срок жизни 3 дня поставить
4. Настроить DHCP чтобы выдавал шлюз по умолчанию, адрес микротика, днс сервер адрес микротика (для локалки разумеется)
5. На микротике днс прописать 1 ваш контроллер домена 1, 2 контроллер 2 если есть и тд, последним в список добавить гугловый днс 8.8.8.8
6. Настроить нат
В такой конфигурации микротик будет раздавать адреса, шлюз по умолчанию он и днс сервер тоже (будет кешировать запросы) плюс можно прописать статику для своих целей или тестов не трогая доменный днс вообще, все запросы сперва он будет слать на контроллер домена, и если там такого ответа не найдет то на гугле будет искать их, ваши КД наверняка тоже бегают в инет через микротик, таким образом с рабочей станции резолв mail.ru будет выглядеть так: запрос на микротик - запрос на кд - трафик с кд через микротик на днс глобальный (если настроен сервер пересылки) если нет то говорим нет такого и микротик спрашивает у следующего днс в списке пока всех по порядку не переберет - затем ответ микротику - после ответ клиенту

Если вы хотите выделить телефонию в отдельный вилан, то на Ether 2 он у нас мастер поднимает VLAN говорим что принимаем тегированный и не тегированный трафик, ведь если у нас на 2 порту висит локалка без влана то трафик с нее не пройдет, настраиваем свою подсеть со своим DHCP сервером, оборудование тегируем на нужный вилан и все по той же схеме... Можно настроить ацесс лист, и запретить сетки резолвить друг в друга.