Konkurierende Inter VLAN Routing-Methoden gleichzeitig nutzen

Ist eher traurig, denn das ist seit Jahrzehnten ein etablierter Begriff in der Netzwerkwelt. Jeder Netzwerker weiss (oder sollte wissen) was "one armed" oder "on the stick" bedeutet.

Sowas wie "Hybrid" gibt es auch nicht, vergiss das. Mit einem L3 Switch ist es eigentlich ganz einfach:

• Wenn man gar nicht routen will vergibt man schlicht und einfach keine IP Adressen im VLAN. Kein IP, kein Routing. So dürfe es jetzt ja bei dir im Setup eingestellt sein ?!

IP Adressen liefert dort in den VLANs ja deine Sophos die das gesamte L3 Geschäft macht.
Wenn du nun bestimmte VLANs über den Switch routen willst machst du es analog:
Du trägst einfach die IPs und auch VLAN Subnetze aus aus dem Setup der Firewall und legst diese IPs auf den L3 Switch. Et voila...schon routet der Switch. Das Routing erledigt immer das Gerät wo die Gateway IP der Endgeräte hinzeigt...ganz einfach.
In klassischen Cores ist sowas üblich. Cores sind ja immer redundant und jeder Core Switch ein Router. Diese parallelen Router koppelt man dann über VRRP, HSRP für die Endgeräte zu einem virtuellen Router mit gegenseitigem Backup der IP. HIER kannst du dir mal im Kleinen ansehen wie sowas geht. Heute werden solche Redundaz Techniken mehr und mehr mit Stacking ersetzt die VRRP überflüssig machen.

Tricky wird es wenn du das parallel betreiben willst. Also das Firewall UND Switch IP Adressen in den beteiligten VLANs halten. Da gilt dann erstmal wieder das was oben steht. Das Gateway entscheidet wer routet.
Allerdings lauert der Teufel im Detail...
Beispiel mit deinem NAS: Dem NAS trägst du als Gateway die IP des Switches ein. Ein Client in einem anderen Netz der darauf zugreift behält aber z.B. die Firewall.
Das führt dann zu einem asymetrischen Routing. Hin gehts über die Firewall, zurück aber über den Switch. Das wird zwar klappen, kann aber böse Side Effects triggern und ist kein sauberes IP Design. Generell sollte man sowas wenn irgend möglich immer verhindern. Allein bei dir schon weil du so die Firewall aushebelst bzw. wenn sie eine SPI Firewall ist den Rücktraffic nicht "sieht" und damit keinerlei Informationen mehr über den Session Status z.B. bei TCP hat. Eben eins dieser bösen Side Effects.
Da gilt es also genau hinzusehen und sich zu entscheiden wer soll welche VLANs routen.
Das ist natürlich nicht ganz richtig ! Der Switch kann zwar keine SPI Regeln umsetzen er supportet aber immer IP Accesslisten. Das kann sogar Billigheimer HP. Ist zwar nicht SPI aber immerhin lässt sich jeglicher IP Traffic damit bis in den Layer 4 auch entsprechend steuern.

Best Practise und üblicher Standard ist in Campus L3 Cores immer den Switch routen zu lassen allein schon wegen der besseren L3 Performance segmentierter Infrastrukturen auf zentrale Endgeräte wie Server, NAS usw.. Traffic kontrolliert man dort dann auch grob mit ACLs.
Alle sicherheitsrelevanten VLANs wie Gastnetze oder solche mit besonderen Sicherheits Anforderungen (externe Firmen, Maschinennetze usw.) nimmt man immer vom Core Switch Routing aus. (Keine IP Adressen auf dem L3 Switch !) und terminiert diese VLANs dann im L2 immer direkt auf der Firewall so das diese Segmente ausschliesslich nur über die Firewall geroutet werden. Sei es per 802.1q Trunks in Link Aggregation oder wie bei dir mit Einzelstrippen. (Ersteres wäre netztechnisch eleganter)
Vermutlich meintest du das mit "Hybrid Modell" ??!