mikes

Если есть traffic segmentation, то зачем vlan?
Убирайте сегментацию и делайте в каждом vlan свою адресацию.

В зависимости от задач.
Если маршрутизатор достаточно производителен и позволяет гибко писать правила доступа (acl) все выводить в отдельные vlan

Я бы разбил на следующие группы
1. Контроллеры домена. И все что связано с пользователями (radius tactacs и тд)
2. DMZ - сервера доступные из интернета (веб сервера и тд)
3. Терминальные сервера (rdp фермы и тд, куда могут заходить пользователи)
4. Все остальные сервера.

отключить ускорение 3d и 2d в настройках VM

вот тут человек вроде как решил подобную проблему https://askubuntu.com/questions/450895/mount-luks-...

лучше таки осилить vpn чем терминалы выставлять в интернет. Конечно щас есть и вроде как шифрование и тд, но не стоит.

не не может, как keepalived, так и DNS (roundrobbin даст только 50% доступности в таком случае)
для доступности сервисов извне используйте load balancer (к примеру haproxy который сможет чекать живой бэкэнд или нет)

Немного гугла для вас
https://code.google.com/archive/p/badvpn/wikis/tun...

да, есть tagged и untagged (native) VLAN. Более того некоторые коммутаторы в принципе не могут пропускать только тегированный трафик в транке, обязательно требуют pvid

Соединить миктотик и dlink отдельным VLAN (даже если он на LAN интерфейсе микрота) и делать балансировку уже на самом микротике.

а) В том месте где у вас входит iptv поставить управляемый коммутатор и развести на разные vlan и в конечных комнатах тоже управляемый коммутатор который эти vlan приймет.

б) нанять сисадмина который все сделает

в) использовать powerline адаптеры для последний мили в этих комнатах, если проводка позволяет.

г) перестать использовать отдельную сеть для iptv и настроить igmp proxy на маршрутизаторе

более того, таблица маршрутизации тоже никуда не передается, ни адреса ни маски :) маска ограничивает границы диапазона адресов за который отвечает конкретный шлюз из соседних.

ЗЫ
если "к роутеру подключены" 2 компьютера, то он знает их на 2м уровне, на уровне маков, и соотносить ip/mac он сможет.
2 компа с разными масками и 1 ip.. это нонсенс :) работать такое нормально не будет.

судя по всему провод от провайдера напрямую в комп, настройте firewall или используйте роутер

нет, канал станет шире, но максимальная скорость передачи между двумя узлами так и будет 1 гбит.
профит от агрегации есть именно для большого количества клиентов/соединений.

смотрите в сторону 10G портов и модулей. Если правил на транках мало, то можно и простенькие поставить типа dlink dgs-1510.

в коммутаторах посмотреть на счет voice vlan

либо просто порт в транк с vlan телефона в tagged, а vlan компа в untagged.
Но нужно проверить конфиг самого телефона, что бы он понимал что ему будет приходить tagged трафик.

либо посмотреть на предмет mac based vlan в коммутаторе, когда трафик с определенного mac (телефон к примеру) будет всегда попадать в нужный vlan

Мне подошёл enpass

порезал по 100 мб. держи https://owncloud.mikes.tk/index.php/s/Cz6RH5WZMCDNiMZ

вполне возможно оборудование в ТЦ инициализирует порт дольше чем микротик грузится (к примеру выключенный portfast у cisco + автосогласование типа порта). в качестве костыля можно попросить у провайдера статический ip и прописать его самому (не полагаясь на dhcp) или в микротик добавить скрипт рестартующий порт через 5 мин после старта.