Михаил

L2 обычно нужен в 2 случаях: либо есть какая-то очень тупая железка, и маршрутами не обойтись, да и то, обычно можно исхитриться. Либо нужно скрыть физическое местоположение устройства, чтобы когда приходят оборудование изымать, погасил L2 и всё, ничего нет :)

Тут уже много чего, написали, но просто крик души: никогда не используйте в корпоративных сетях поддиапазон 192.168.0.0/16! Как только понадобится делать VPN соединения с "домашними" компами, вспомните. Не то чтобы там что-то нерешаемое, но зачем лишние проблемы? 172-я и 10-я прекрасно подходят, вторая удобнее с точки зрения запоминания подсетей или виланов.
Компы через телефоны плохо включать: во-первых телефоны имеют свойство зависать (редко но бывает), во-вторых там часто 100мбит а не гигабит и потом, удобнее мониторить все устройства через управляемые свитчи - одна сетевуха - один порт.
Видеонаблюдение я бы вынес в отдельную физическую сеть. Многие камеры геморройно настраивать, к тому же траффик там может быть весьма нехилый. А главное - через камеру можно получить физический доступ в сетку, особенно, если есть внешние камеры.
Кстати, еще один вопрос безопасности: не надо подключаться к сети через вайфай, даже если очень хочется. Для вайфая - отдельная сеть или вилан, а лучше вообще использовать его только для выхода в интернет.

Если есть Exchange, то стрелять в ногу не стоит. Я бы поднял новый сайт в домене со своим контроллером и своей адресацией и потом переползал в него. Но по-иоему проще новый домен поднять, заодно все старые грабли, разложенные предшественниками можно убрать, но это небыстро.

Первое что вижу - разный порядок DNS, лучше у всех поставить первым роутер. А дальше ищите в роутере файрволл, наверняка это он режет, пинг это ещё не все порты. Ткнитесь телнетом по порту самбы, если шары проверяете. Роутер может считать LAN и Wi-Fi разными сетями, поищите эту настройку, должна быть. На Микротике я бы подсказал что они должны быть в одном бридже, здесь тоже должно быть что-то аналогичное.