Николай

Когда во VLAN10 будет технологическое оборудование, а VLAN20 - офис с хомячками и вирусами, то таких вопросов не будет.
На роутере можно зарезать часть(если он нужен) или весь трафик между сетями(если это, например, салон красоты и надо дать посетителям халявный wifi, но в локалке салона посетителям делать нечего).

syslogd чем не устраивает?

STP и link aggregation работают на втором уровне, там нет никаких маршрутов.

Второй вариант - AD пусть обращается на циску, или напрямую на провайдерские адреса, а клиентские машины на AD

Картинка более-менее понятная.
Если ничего не настроено, то вам, как минимум, надо настроить два маршрутизатора и 4 коммутатора.
Кроме того на это листке описано только половина из того что нарисовано.
Если вы "ничего не понимаете" то вам однозначно нужен специалист и деньги на него и нормальное ТЗ.