Access-Switch Gateway IP

Wenn der Core Switch eine Default Route Richtung FW hat dann nim den Core Switch.
Der Core "weiß" ja dann wo die Pakete hin müssen. Weil entweder "direct connected" oder über die Def.Route ins WAN über die FW.

Bedenke bitte das sich das Standard Gateway immer im SELBEN Subnetz befinden muss.
Heiß dann für das Netz 192.168.30.0/24 muss auf dem Switch eine IP eingerichtet sein und für das Netz 192.168.40.0/24
ebenfalls. Dann noch das ganze Routing auf dem Switch. Default Route auf die Firewall und dann gehts.

Client 192.168.30.111 --->Client Switch VLAN --> Core Switch Gateway IP 192.168.30.254 ---> Firewall --> WAN

Wenn du es richtig gemacht hast sollte sich die Frage gar nicht erst stellen!!
Das 20er VLAN bekommt auf dem Core Switch kein IP Interface!! Sprich, es kann auch dem Core Siwtch physisch gar nicht geroutet werden.
Das ist absolute Pflicht beim Setup des VLAN 20 über den Core ansonsten hast du dort eine gefährliche Backdoor Route und kannst die Firewall umgehen. Mieses L3 Design!
Dann aktivierst du dort im Setip kein L3. Der Switch arbeitet ja dann nur im L2 Mode!

Fazit:

• Kein IP Interface im VLAN 20 auf dem Core! Damit ist das 20er Netz IP technisch gar nicht auf dem Core erreichbar (Sicherheit!). Das 20er VLAN wird dort rein im Layer 2 durchgereicht!
• Gateway IP im 20er Netz ist dann natürlich die Firewall! Was auch sonst? Es gibt ja, wenn man es richtig einrichtet, gar kein weiteres Gateway dort und die Firewall routet ja dieses 20er Netz wie du selber schreibst.

Nein, das wäre doch komplett unsinnig und zudem auch noch hochgefährlich wenn du das 20er VLAN dort mit einer IP einrichtest.
Logisch, denn damit erhälst du ein potentielles Routing Interface auf dem L3 Core was du ja aber keinesfalls willst wenn z.B. dein VLAN 20 ein Gastnetz ist mit unbekannten Usern. Die könnten so einfach und problemlos die Firewall umgehen und hätten alle internen VLANs am L3 Core Switch auf dem Silbertablett. Sicher nicht was du mit der Isolation des VLAN 20 erreichen willst, oder?
Das soll ja wohl aus Sicherheitsgründen ausschliesslich nur über die Firewall geroutet werden was ja auch sinnvoll ist, zumindestens für Gastnetze oder Netze die nicht bekannte Endgeräte enthalten.
Mit einem IP Interface auf dem L3 Core hebelst du die Firewallsicherheit komplett aus und führst das Routing des VLAN 20 darüber dann ad absurdum.

Deshalb darf niemals ein IP Interface für das VLAN 20 auf dem L3 Core Switch eingerichtet werden, das ist absolut Tabu wenn du sicher sein willst.
Der Coreswitch leitet das VLAN 20 in einen guten und sicheren Design rein nur im Layer 2 vom Access weiter und die einzige IP Schnittstelle darin ist die Firewall.
Sorry aber das ist Unsinn!
Kein L3 Switch auf der Welt legt beim Konfigurieren eines VLANs automatisch ein L3 Interface an. Du solltest mal besser das Handbuch des Switches lesen!!

OK, das war aus der Threadbeschreibung nicht ganz klar. Sorry...
Ein getrenntes Management Netz ist natürlich immer sehr sinnvoll in einem Campus Design. Wenn es also das Management VLAN ist, dann muss das natürlich an allen Infrastruktur Komponenten anliegen, da hast du Recht.
Als Gateway solltest du dann immer den L3 Core Switch eintragen für alle Komponenten, da du das Management VLAN ja immer nur intern nutzt.
Folglich sollte dann auf der Firewall eine entsprechende Regel gesetzt sein die den Management Zugriff rein nur aus den Admin VLAN Netzen erlaubt und ein Routing ins Internet aus dem VLAN 20 geblockt wird.
So ist immer sichergestellt das das VLAN 20 Management an der Firewall nur für den Management Zugang genutzt werden kann und nicht als Backdoor Default Gateway ins Internet! (Sicherheit!)
Entsprechend dann auch eine IP Accessliste auf dem L3 Core der ebenfalls den Zugang aufs VLAN 20 nur aus den internen Admin VLAN Netzen erlaubt.