iddqda

зайти на свичи по очереди и посмотреть lldp

Если я захожу на сам свитч (управляемый) то там я не вижу маков телефонов

так не бывает.
свич на основе маков работает и все маки ему известны иначе ничего бы не работало

потому что судя по всему на туполинке включен нат
И скорей всего тебе маршрутизация вообще не нужна
А просто надо чтоб он как свич и/или вайфай точка работал

если так то не используй WAN порт. воткни все линки в LAN
и выключи на туполинке DHCP

возможно конечно
но в любом случае не на хабах. К слову, хабы не производятся уже много лет
если используются свичи, т.е. L2, то для распутывания петель применяется протокол STP и его разновидности.
либо используется аггрегирование каналов LAG, MLAG итп
если L3, то используются FHRP протоколы, протоколы динамической маршрутизации, ну или еще можно статику + BFD

з.ы. и вопрос точно не относится к "сложным"

пробовал решать эту задачу, но в итоге забил
Просто потому, что кроссировка - это пассивное состояние, которое автоматически не верифицировать.
портов на патч-панелях как правило в разы больше чем портов коммутаторов (если не опенспейс где можно зафиксировать рабочие места).
Но даже если коммутаторов хватает, и каждая неиспользуемая розетка соединена с портом коммутатора то по соображениям ИБ порт на коммутаторе выключен и наличие кроссировки никак не помогает.

В случае когда кроссировку выполняет всегда один и тот же человек, ведение кабельного журнала (неважно какого и в чем) еще целесообразно.
Но когда кроссировкой занимаются 7 нянек, в этом самом журнале будет полный бардак. А верификация автоматическая невозможна. Все равно все делать ногами. Вот пусть эти 7 нянек и бегают

А вот задача поиска активного порта по юзеру успешно решается множеством способов и инструментов.
Я использую LibreNMS. Там из коробки такое есть. А как такое сделать в заббикс не представляю. Хотя нет, представляю. В том случае когда пользователь блокирует порт по portsecurity, мой zabbix мне смс-ку шлет с номером коммутатора, порта и мак-адресом, вызвавшим событие.

сходу три варианта:

1. плюс к пингам мониторьте остояние ospf соседства (1.3.6.1.2.1.14.10.1.6)
2. переходите на BGP и фильтруете адреса линков
3. инкапсулируете в GRE MPLS VXLAN whatever

Я делаю вот так
1. в snmptrapd прописываю OID трапа, который хочу ловить и обрабатывать и путь к обработчику
примерно вот так:

traphandle .1.3.6.1.4.1.9.9.315.0.0.1 /etc/zabbix/externalscripts/traphandlers/cisco-psec-traphandler.py
traphandle .1.3.6.1.4.1.9.9.548.0.1.1 /etc/zabbix/externalscripts/traphandlers/cisco-psec-traphandler.py

2. обработчики пишу на питоне. на перле уже даже моя бабушка не пишет.
3. в Заббиксе создаю item типа zabbix_trapper на хосте, который мониторю, точнее в шаблоне, который потом вешаю на хост.
4. из самого обработчика вызываю zabbix_sender который шлет нужное значение на нужный хост по ключу item-а созданного в 3-м пункте

а что касается чтения лога то этим кто-то должен заниматься.
в случае с мониторингом серверов, сервера сами это делают посредством агента, а кто будет это делать за вашу железку?

Вы похоже не очень хорошо разбираетесь в сетях
В результате неверно интерпретируете выводы Wireshark и идете ложным путем

поясните три момента
1.

приложения не видят устройства других сетей, хотя ping и TCP/ip соединения идут

что вы имеете ввиду под глаголом "видят"?
2.

Как сделать, чтоб при получении пакета о составе сети роутер сообщил о сетях за VPN?

Ваши приложения используют протоколы динамической маршрутизации?
3.

Как сделать чтоб роутер перенапрявлял L2 броадкаст по L2 туннелю к сетям?

Здесь конечно полная каша, но может имеется ввиду прокси-арп?

А что куда роутить? может Л3 коммутатор надо?
просто если edge то это куда?
интернет с ip телефонией и видео отпадает наверное
значит не в интернет. В филиалы? А там тоже 700+ юзеров?
а может в ДЦ? толщина каналов какая?

Извини не понял зачем нужны сдвоенные вланы и QinQ
точек у тебя наверное много. Чтобы управлять ими нужен контролллер
Нормальные точки с контроллером сами контролируют заданную скорость.
А дальше в проводной среде можешь всех в один влан сунуть и DHCP выдавать из общего пула.
Посмотри как пример недорогого и вполне взрослого решения на Unifi
Точки стоят разумно, контролер бесплатный. Позволяет сделать группы пользователей, ограничение скорости, разные типы авторизаций. Поддерживает внешний captive portal. есть restful api и библиотеки для питонов и js