Preiswerter VLAN-Ausbau eines bestehenden Netzwerkes

Als de facto Administrator einer organisch gewachsenen Netzwerkstruktur (oder wie sagt man für Chaos?) innerhalb unseres Gebäudes (Gründerzentrum für Startups), bin ich gezwungen mich mit neuen Möglichkeiten zur besseren Strukturierung und Administration der Subnetze auseinanderzusetzen. Mein Hintergrundwissen ist eher überschaubar und daher habe ich versucht die meistzitierten Artikel von heise.de und hier auf Aministrator.de durchzuarbeiten. Trotzdem bleiben einige Verständnisschwierigkeiten, und ich hoffe ihr schlagt mich nicht gleich wenn es banale Fragen sind.

Angefangen hat es mit einem PC und zwei NICs, Betriebssystem OSX 10.3 Server mit ipfw und natd, der unser LAN auf 192.168.101.0/24 mit dem Internet verbunden hat. Dann kam eine kleine Pseudo-DMZ auf 192.168.102.0/24 mit einer weiteren Netzwerkkarte für unseren FTP-Server dazu. Die Nachbarfirma wollte sich ebenfalls einklinken und bekam ihr eigenes Subnetz auf 192.168.103.0/24. Mit der Zeit wurden auch immer mehr Räume eingebunden, mehr Kabel und Patchpanele nebst Switches eingebaut, die munter vor sich hinkaskadieren.
Demnächst "fusionieren" wir mit einer weiteren 2-Mann Firma, die gerne auch ihr eigenes Subnetz hätte, aber räumlich in unserer Firma zerstreut angesiedelt wird. Eine einfache physische Trennung mit Kabel und Netzwerkkarte wird also nicht mehr möglich sein, zumal mein PC-Router auch keinen Steckplatz mehr frei hat. Soweit ich es verstanden habe ist das Zauberwort für mich VLAN. Das Prinzip habe ich einigermassen verstanden, aber natürlich darf es nicht viel kosten (um keine Missverständnisse aufkommen zu lassen: wir haben etwa 15 Mitarbeiter und ca. 35 Rechner in unserem LAN). Zur Zeit haben wir als hauptsächliche Verteiler 3 10/100er Switches von D-Link mit je 24 Ports (DES-1024R, DES 1024D, DFE 2624ix) und einen Gigabit-Switch mit 16 Ports (DGS 1016D) im Einsatz (ich vernachlässige mal Fritzbox und D-Link DIR615, die als APs im Einsatz sind). Allesamt also nicht managebar, kein layer3, kein 802.1q. Ich habe noch nicht nachgeforscht, ob die Switches wenigstens getaggte Pakete ungehindert passieren lassen - weiss das zufällig jemand aus dem Kopf? Ich versuche mal meine "Anforderungen" zu sammeln:

a) weg vom PC-Router/firewall hin zu einer energiesparenden und vor allem leiseren Lösung (M0n0wall?)
b) logisch separate Subnetze teilweise über dasselbe Kabel von einem Switch zum nächsten laufen lassen
c) proprietäre Implementationen möglichst vermeiden (Cisco?)
d) möglichst einfache Administration

ad a) die M0n0wall klingt für mich sympathisch, weil sie wohl auf ipfw aus FreeBSD basiert und sich von daher nicht grossartig von der OSX firewall unterscheidet. Vermutlich ist das aber völliger Blödsinn, da die M0n0wall ausschliesslich web-administriert wird, oder? Meine ipfw habe ich nämlich letztendlich von Hand konfiguriert, da die GUI-Version von OSX für mich völlig untauglich ist. Insofern stellen die Mikrotik Router noch eine Alternative dar. Beide sind ja in der Lage mit VLANs umzugehen.

ad b) der konsequente Weg wäre ja wohl alle vorhandenen layer2 Switche durch entsprechende layer3 Switche zu ersetzen. Gleichzeitig wäre es für uns sinnvoll, wenn wir dabei vollständig auf Kupfer-Gigabit umsteigen würden, da wir täglich Daten im GByte Bereich herumschieben. Und da kommen die Kosten wieder ins Spiel. "Richtige" layer3 Gigabit-Switche mit 24 oder mehr ports, die auch ein VLAN-Routing beherrschen kosten offensichtlich eher einige tausend als einige hundert Euro, sehe ich das richtig? Habt ihr Empfehlungen für Switche, gerne auch gebraucht aus der eBucht o.ä., die VLAN-fähig sind? Ich blicke leider nicht so richtig bei den Spezifikation durch, besonders wenn Bezeichnungen wie Smart-Switch oder layer2+ benutzt werden. Beispielsweise werden von Level-One 16-Port Gigabit Web Smart Switche (GSW-1676) in der eBucht für 155 Eur angeboten. In der Beschreibung sieht es so aus, als ob sich alle ports einzeln für VLAN konfigurieren lassen. Wo ist der Haken?
Alternativ überlege ich, ob es möglich ist, die bisherigen Switches in ihren Räumen zu belassen und nur da, wo sich die LANs physisch "überschneiden" kleine VLAN-RouterBoxen dazwischen zu setzen. Um mein Kauderwelsch irgendwie verständlich zu machen, versuche ich es mal auf ein simples 2-Raum Modell zu reduzieren.

RaumA hat die MOnOWall, einen layer2 Switch und ein Patchfeld mit einem einzelnen Kabel zum Patchfeld in RaumB.
Am Switch in Raum A hängen nur PCs, die zum LAN1 gehören.
In RaumB ist ein zweiter Switch. Raum B hat PCs, die hauptsächlich zu LAN1 gehören, aber auch einen PC, der zu LAN2 gehören soll.
Für RaumA geht die MOnOWall mit einem port ungetagged auf den switch in RaumA.
Für RaumB tagged die MOnOWall auf einem weiteren port Pakete für LAN1 und LAN2 in Raum B.
In RaumB gehen die Pakete zunächst in einen MikroTik-Router. Dort werden sie wieder enttagged und je nach Zugehörigkeit auf verschiedenen ports für LAN1 und 2 wieder ausgegeben. Der port für LAN1 geht dann meinetwegen zum Switch, der andere port direkt zum PC aus LAN2 (oder einen weiteren layer2 Switch).

Macht das Sinn, oder ist das kompletter Schwachsinn? Wenn man das so konfigurieren könnte, dann würden sich die Kosten auf die Anschaffung von einem z.B. MikroTik RouterBOARD 250GS (36,45 EUR) pro Raum/Switch reduzieren. Hat jemand noch andere Ideen?

Vielen Dank für eure Meinungen, Lupus

/ip firewall filter
add chain=spi connection-state=established action=acc
add chain=spi connection-state=related action=acc
add chain=spi connection-state=invalid action=drop
add chain=spi action=return

add chain=input action=jump to-chain=spi
add chain=forward action=jump to-chain=spi