Mikrotik VLAN Tutorial Nachklapp

Tutorial:
1.)
Du hast Recht. Es wäre ein sinnvoller Vorteil das Ingress Filtering zu aktivieren um fremde VLANs die nicht in der Bridge definiert sind zu unterdrücken. Das Tutorial wird diesbzgl. angepasst.
2.)
Welcher Port in welchem PVID VLAN (untagged Access) arbeiten soll ist ja immer eine idividuelle Entscheidung jedes einzelnen Admins auf Basis seiner individuellen Anforderung. Genau deshalb belässt es das Tutorial auch nur bei Beispielen. Es wäre ja sinnfrei alle 4095 VLANs mit jeder x-belibigen Kombination je nach Portausstattung der Hardware aufzuführen.
Was das Thema NAT anbetrifft ist das in einem reinen Layer 3 VLAN Setup natürlich Unsinn wenn es zusätzlich noch einen Internet Router gibt. Pflicht ist es dann (und ebenso die Firewall) wenn der Mikrotik sowohl den Internet Zugang als auch das VLAN Routing erledigt.
Es würde den Rahmen eines solchen Tutorials vollkommen sprengen würde man alle technisch möglichen Optionen beschreiben. Dafür gibt es die "weiterführenden Links" die diesen Part abdecken und von solchen zusätzlichen Threads lebt ja auch ein Forum wie dieses.
3.)
Jein. Wie sollte es die auch geben, denn es gibt soviele verschiedene Anforderungen an ein Firewall Setup wie Sandkörner im Ozean. Jede individuelle Infrastruktur hat ja immer auch eine dazu passende Firewall Anforderung.
Das Jein bezieht sich auf die Default Firewall. Diese stellt immer ein universales und wasserdichtes Framework dar an dem man sich grob orientieren kann. In einem Kaskaden Setup oder einem Layer 3 Switchdesign ist es aber wieder vollkommen kontraproduktiv da NAT im Spiel ist.
Fazit: Nein, eine dedizierte Empfehlung kann es aus diesen Gründen nie geben.

Dein Setup:
1.)
Da mit SwitchOS bekanntlich kein Layer 3 Routing Setup möglich ist wurde es im Tutorial ausgeklammert. Die Intention war ein Routing auch mit dem Switch ausführen zu können, was mit einem reinen Layer 2 Switch Image (SwitchOS) prinzipbedingt ja nicht möglich ist.
Diese Layer 2 only Lösung mit einem externen Router oder Firewall beschreibt dieses VLAN Tutorial.
2.)
Das ist normal wenn du die Autodiscovery aktiv hast. WinBox kann den Mikrotik ja außer über die IP auch rein über Layer 2, also nur mit Mac Adresse erreichen. So ist man fürs Setup nicht zwingend auf eine IP Infrastruktur angewiesen. Eine IP wird nur zusätzlich angezeigt wenn auch IP Zugang an dem Port möglich ist z.B. ein DHCP Client, statische IP u.a. Du kannst dann auf die Mac oder IP klicken um die eine oder andere Option zu nutzen.
3.)
DU bist der Admin und kannst daher immer selbständig bestimmen was DU konfigurierst bzw. in deinem Netzwerk sinnvoll ist. Wenn du also meinst VLAN soll seine IP dynamisch beziehen dann ist das auch OK so.
Es ist aber unsinnig zu glauben das ein Gerät nur mit einer per Client gezogenen IP "ins Internet" kann. Das das auch mit einer statischen Zuweisung genausogut klappt weisst du auch selber.
Da dies ja ein Router ist, ist DHCP immer keine besonders intelligente Idee, denn Router leben von festen Gateway IPs und niemals von Adressen die sich dynamisch ändern können weil dann das Routing stirbt. Wenn man also sowas macht sollte man zumindestens im DHCP Server von dem diese IP dann kommt per Mac Adress Reservierung dafür sorgen das diese IP auch immer fest und statisch bleibt.
Noch besser wäre es sie statisch zu vergeben. Router IPs liegen aus guten Gründen immer am Anfang oder am Ende der IP Segment Hostadressen.

Ansonsten alles richtig gemacht! 👏👍