Курю тему дальше. ТЗ в итоге сформировалось такое: первый микрот (та самая борда RBM33G) будет собственно роутить всё в инет, второй (RB960PGS) - роутить всё что в инет из локалки на саму борду. Что здесь пытаюсь сделать:
1) По всем портам на hex poe L2 домен без тега, в котором будут видны оба микрота, при том роутить в этом домене будет только hex poe (в фаерволе на борде, это понятно).
2) Между тем hex poe и бордой вланы с таким функционалом: один под тот общий L2 домен, второй под роутинг в интернеты, третий зарезервирую и четвёртый под менеджмент
3) По потребности пускать по портам хекса ещё и тегирыванные фреймы, к примеру если (или когда) потребуется спустить влан под мненджмент на девайс ниже.
Как пропускать фреймы сквозь свич чип ставя-снимая теги это ещё понятно. А вот как сделать чтоб помимо этого ещё и с IP трафиком при этом работать - вот тут уже дико путаюсь..