Önskar lite hjälp med uppsättning av vlan

Hej,

Jag är inte särskilt het på nätverk, kan en del men har sällan behövt göra något mer avancerat än vanliga hemmanätverk med allt på ett subnät. Jag håller på att öka säkerheten hemma via segmentering av nätverket och har kommit till en punkt där jag behöver sätta upp ett eller flera vlan.

Min gamla router är en asus ac58u som kör openwrt. Den har dock inget (bra) stöd för vlan. Därför har jag införskaffat en Edgerouter X som nu ligger framför asus routern. Asus routern agerar access punkt för wifi. Jag låter den även hantera ett gäst/iot nätverk.

Vad jag vill åstadkomma:

Jag har en raspberry pi som jag vill exponera mot internet samtidigt som jag håller den isolerad från mitt lan. För närvarande är det web som är intressant så port 80/443. Jag vill kunna ansluta med ssh från mitt lan men all annan trafik ska droppas. Min tanke är att sätta upp ett dedikerat vlan för raspberryn och en brandväggsregel som öppnar ssh från lan.

Frågor

Just vlan är jag väldigt osäker på. Räcker det med att jag skapar upp ett vlan för min raspberry server eller behöver jag också ett vlan för mitt LAN?

Blir heller inte riktigt klok på ifall trafiken ska vara taggad eller inte.

Har försökt rita upp min topologi i paint nedan:

Tack för svaren, blir antagligen att jag pillar mer med det här till helgen

Tackar för alla svar. Jag tror mig ha löst problemet tillsvidare. Valde att koppla loss eth4 från switchen och satte upp brandväggsregler för att begränsa trafik mellan subnäten. Jag tror och hoppas att jag fått till brandväggsreglerna någorlunda korrekt.

Satte kort upp följande regler.

ETH4/IN: 
Policy Accept.
1: Tillåt Established och related state anslutningar //för t.ex. ssh trafik
2: Droppa trafik till 192.168.0.0/16

ETH4/Local:
Policy Drop //blocka administration av routern

ETH4/OUT:
Policy Drop
1. Tillåt Established och related state anslutningar //oklart ifall detta faktiskt behövs
2. Tillåt tcp trafik på port 22 och 80 från 192.168.1.0/24

Iot nätverket var kanske lite onödig information, den delen är klar sen tidigare - låter asus routern hantera hela det subnätet med sin egen brandvägg själv eftersom den saknar stöd för vlan.