Я не делаю этого. Поэтому я и рассматриваю Wi-Fi во внешней части своей сети. Камеры все внешние, так что получить к ним доступ не составит труда.

Да, для меня физическая связанность обычно соответствовала пулам безопасности, с некоторой подсистемой. Например, Wi-Fi и сетевые соединения по электропроводке считались небезопасными. Главное — маршрутизация в интернет напрямую или через VPN. Я использовал IP-диапазоны внутри каждой VLAN для этого. Но организация по группам безопасности имеет больше смысла, с подсистемой, основанной на маршрутизации в интернет (выходящий VPN или нет). Камеры обычно подключены по Wi-Fi, хотя я могу добавить проводные — мысль о том, что они находятся в одной VLAN, кажется мне странной, хотя я бы считал проводное соединение небезопасным, несмотря на то, что оно проводное (IoT паранойя). Но это имеет смысл, и новый межсетевой экран на основе зон упростит маршрутизацию.

Я мог бы, но я организовал VLAN по типу физического доступа: беспроводные (камеры и не-камеры), проводные, питание, а также по роли для проводных: lan (разрешен входящий доступ), sec(ure) (входящий доступ запрещен) и dmz (разрешен внешний входящий доступ). Это облегчает контроль доступа, так как беспроводные сети, питание и dmz не видят lan или sec, а lan даже не видит sec. Дополнительным фактором является маршрутизация в обратном направлении через VPN или её отсутствие. Вы предлагаете разделить VLAN ещё больше, что, признаться, не плохая идея: всего несколько проводных машин нуждаются в прямом подключении, и они сейчас в VLAN sec(ure), хотя одна или две в lan соответствуют (компьютер моего сына). На моем предыдущем роутере на базе Linux я организовывал прямое и VPN-маршрутизацию с помощью диапазонов IP-адресов в каждом VLAN, так что простое изменение DHCP-сервера могло изменить это, и переключение с одного проводного LAN-порта на другой не имело значения: все были LAN (хотя SEC(ure) были другие). Я мог бы отличить порты коммутатора по VLAN, включая тип сетевого доступа, но тогда я бы менял теги портов вместо IP-адресов. Итак, поскольку это действительно влияет только на SEC и LAN, я думаю, можно добавить SEC-VPN и LAN-VPN (и в конечном итоге IOT и IOT-VPN). Добавление VLAN означает добавление записей маршрутизации, но это не так уж сложно с помощью интерфейса. На моем роутере на базе Linux эти изменения вносились вручную в rc.local. Похоже, расширение VLAN — это верный путь.