Verständnisfragen zum VLAN-Tutorial

Nein, das ist falsch. Jedenfalls nicht wenn man vorher sauber plant und mit dem richtigen Kozept vorgeht. Das ist immer in der IT so.
Kollege @th30ether hat oben ja schon alles ausführlich zu dem Thema gesagt.
Grundsätzlich musst du dich vorher festlegen was für ein VLAN Design du umsetzen willst.
Entweder ein zentrales Routing über den Router oder Firewall und der Switch arbeitet rein nur als Layer 2 VLAN Switch wie es im von dir angesprochenen VLAN_Tutorial beschrieben ist. Oder...
Du setzt ein Layer 3 Switching Konzept auf auf deinem SG-250, der ja auch ein Layer 3 Switch ist.
Wie das geht erklärt dir das Layer 3 Tutorial hier:
Verständnissproblem Routing mit SG300-28

Letzteres hätte den Vorteil das dein Internet Router, was auch immer das ist, keinerlei 802.1q VLAN Funktionalität benötigt wie es in der zentralen Option aber Voraussetzung wäre. Damit kannst du dann völlig frei entscheiden ob du da FriztBüx, OpenWRT, Mikrotik oder eine pfSense etc. einsetzt.
Nachteil ist das du mit Access Listen auf dem L3 Switch die VLANs abschotten musst. Performanceseitig hat das Switch L3 Konzept einen klaren Vorteil aber auch nur dann wenn man sehr viel VLAN übergreifenden Traffic hat. Ist dieser eher gering und eher Internet bezogen ist das zentrale Konzept besser.
Im Switch Konzept hättest du zusätzlich auch noch die Anforderung das du Sicherheits relevante VLANs nie auf dem Switch routingtechnisch terminierst sondern immer direkt auf der FW. Diese VLANs müsste man dann so oder so wieder zentral über den Uplink auf den Router oder Firewall terminieren und ist dann wieder bei der 802.1q VLAN Anforderung im Uplink was dich dann doch wieder auch entsprechende Router HW festnagelt.

Die Konzepte sind aber grundverschieden und man sollte immer VORHER festlegen für welches man sich entscheidet sofern man die entsprechende HW besitzt. Mit einem reinen Layer 2 only VLAN Switch stellt sich diese Frage logischerweise gar nicht erst.

Ahoi!
Also ich komme aus der Mikrotik-Welt und terminiere dort die VLANs fast immer an einem (ausreichend starken) Router.
Waurm?
Nun, da ich nur auf dem Router alle Möglichkeiten des Firewallings habe, Ausnahmen definieren und Pakete markieren und routen kann usw.
Auf nem Switch ist das in dem Umfang i.d.R. nicht möglich (kenne das Cisco-Gerät allerdings auch nicht, muss ich einräumen), denn sonst wäre es ja bereits ein Router.

Beispiel für Dein Netz:
Alle User sollen auf die Netzwerkfreigaben des NAS zugreifen können, aber sie sollen nicht auf die Weboberfläche des NAS kommen, um es auch nicht administrieren zu können. Joa gut, also dann ist der Zugriff aus dem Gäste-VLAN nur per SMB-Protokoll möglich, nicht per https.
Kann das der Switch? Der Router kann es.
(Diese Idee ist nicht durchdacht, sondern soll nur nen Denkanstoss geben bezüglich der Möglichkeiten).

Kurzum: regelst Du alle VLANs über den Router, hast Du auch immer alle Möglichkeiten, auch dann, wenn sich am Netzwerk mal was ändert - Du regelst immer alles schön zentral am Router. Terminierst Du VLANs am Switch nimmst Du Dir selbst einige Optionen.

Das ist nicht im jedem Szenario der Weisheit letzter Schluss, aber es funktioniert immer.

Gruß,
Colt

Da gibt es kein KO Kriterium ! Rein technisch kann man das natürlich machen.
Großer Nachteil ist das ACLs auf den Switches nicht stateful sind und du dann 2 kritische Punkte hast wo du Security pflegen musst. Switch und Firewall.
Bricht z.B. jemand aus dem Gastnetz aus liegt er dann gleich am Switch mit zentralem Access in alle anderen VLANs. Keine ganz so gute Idee aber für jemand der weiss was er tut natürlich so machbar. Oder eben mit einem hybriden Ansatz also alles Switch basierend lokal routen was sicher ist und alles andere via Layer 2 auf die Firewall "durchschleifen". So wird es in der Regel auch in Firmennetzen gemacht weil einen Firewall doch immer etwas wasserdichter ist.
Es ist aber alles immer rein nur von deiner eigenen Sicherheits Policy abhängig. Wenn DU damit leben kannst und DU das für ausreichend sicher hältst dann ist es gut so und du kannst das auch so umsetzen. Solche Überlegungen sind meist rein Sicherheits relevant.