mikes

первый вариант - разделите сеть на vlan согласно логической структуре. настройте соответственные области в dhcp

второй вариант (более сложный, но отвечающий вашим требованиям) настройте на коммутаторе 802.1x и выдавайте vlan и тд динамически на основе политик radius (ms ias) примененным к определенным группам в AD

перестать забивать гвозди микроскопом и делать костыли.
правильная топология когда роутер 1 а беспроводной сегмент обеспечивают нужное количество точек доступа.
Также можете рассмотреть вариант замены сего дела на современный mesh комплект от какого нить тплинк

Ответ на ваш вопрос - source routing
Сервер отвечает с того интерфейса на который пришел первый пакет.

а вот если вы будете кого нить пинговать к примеру, то все (окромя 10.10.118.0/24) будет уходить через 10.10.118.1 поскольку он является шлюзом по умолчанию.

Если у вас там все так секурно и круто, то скорее всего NAT тупо нет и есть тока прокси.
соотв нет ни пинга ни dns

для того что бы отдать прокси клиентам есть следующие варианты
GPO через active directory
WPAD через dhcp options
WPAD через dns name

Но вообще прокси конечно прошлый век. купите себе норм DPI и используйте NAT

wifi в бридж не станет. Либо загоняться с отдельной сеткой и port forward/arp proxy и тд.
но имхо любой роутер который может работать как wifi client сделает все что захочется.

в нынешних реалиях прокси сервер без танцев с бубном (transparent proxy + ssl bump) не дает никакого контроля. максимум че можно получить это хостнейм посещенного сайта.
не стоит решать административные вопросы техническим путем.

L3 Коммутатор в этом случае и выступает роутером.
Ему нужно назначать ip адреса в этих вланах и соответственно выдать клиентам как основной шлюз.

Если уж прям сильно сильно сильно утрировать, то l3 коммутатор - роутер который не умеет в NAT и всякие туннели :)

лучше бы просто вести документацию (ipam) к примеру на phpipam или netbox

вы в DNS запрашиваете не IP, а FQDN, вот от этого и надо плясать.

если вы хотите мир резолвить через 8.8.8.8 а pc.somedomainname.ru через 192.168.0.6 то без разбора самих запросов dns это не сделать.
Можно конечно сделать правило в iptables которое будет для пакетов на 53 порт искать слово "somedomainname" и делать DNAT в нужное место, но лучше завести свой DNS сервер и настроить forward зоны в соответствии с вашими нуждами.

вполне подойдут dnsmasq или coredns

Но вообще мало входных данных, если это все ваши сети, то почему не сделать DNS сервер с ddns via dhcp или прописать все нужные записи самому.

управляемый коммутатор + windows NPS (или любой другой RADIUS) + назначение vlan группам пользователей.

untagged vlan на портах будет динамически назначаться в зависимости от принадлежности пользователя (или компьютера) к группе в AD

Перевести интерфейс в режим nonegotiate на циске:
sw1(config-if)# switchport nonegotiate

и после этого вернуть порт из errdisabled ну или ребутнуть

Имхо L3 на коммутаторе сильно много для вас, маршрутизатора будет норм, а в управлении (написании правил) будет легче.
Резервирование.. нужно понять какова цель и оправдывает ли она вложенные средства в сие недешевое дело.

Для выбора надо понимать насколько много правил и какой трафик (объемы) вы гоняете.

1) При таком раскладе у человека уже нет нет интернета. Его сеть 192.168.1.х отличается от твоей 192.168.88.х
2) Найти, бить по рукам, поднять домен, отобрать права админа у всех, поставть управляемые коммутаторы с IP-MAC-Port Binding
3) Начать с книжек по сетям, пойти на какие нить обучающие курсы.

Если есть traffic segmentation, то зачем vlan?
Убирайте сегментацию и делайте в каждом vlan свою адресацию.

В зависимости от задач.
Если маршрутизатор достаточно производителен и позволяет гибко писать правила доступа (acl) все выводить в отдельные vlan

Я бы разбил на следующие группы
1. Контроллеры домена. И все что связано с пользователями (radius tactacs и тд)
2. DMZ - сервера доступные из интернета (веб сервера и тд)
3. Терминальные сервера (rdp фермы и тд, куда могут заходить пользователи)
4. Все остальные сервера.

да, есть tagged и untagged (native) VLAN. Более того некоторые коммутаторы в принципе не могут пропускать только тегированный трафик в транке, обязательно требуют pvid