Wie man VLANs physikalisch an einem Router zusammenführt, kommt auf die Verkabelung bzw. den Router bzw. Switch an. Wenn ausreichend Ports zur Verfügung stehen, würde ich persönlich von jedem VLAN-Segment einen Uplink zum Router führen. Möchte man das nicht, muss man am Switch einen Port als Trunk konfigurieren, ein Port, der alle VLANs getagged überträgt. Dort klemmt man dann den Router an, der seinerseits die Tags auswertet und die Pakete aus den VLANs wieder trennt.
So sähe das jeweils aus:
1)
VLAN-Switch mit 8 Ports. Port 1-4 = VLAN10. Port 5-8 = VLAN20. Endgeräte an Port 1-3 bzw. 5-7 und jeweils vom letzten Port des VLANs (Port 4 bzw. 8) geht ein Kabel zum Router in einen eigenen Port. Der Port wiederum muss in dieser Konfiguration nichts vom VLAN wissen, weil dort sowieso nur Pakete vom jeweiligen VLAN ankommen bzw. sie gar nicht getagged sind (also keine VLAN-ID haben). Für den Router sind das also einfach zwei getrennte Netzwerke. Routing und Firewall werden dann ganz normal für die jeweiligen Interfaces, Subnetze, Ports, etc. konfiguriert.
2)
Derselbe Switch mit 8 Ports. Port 1-4 = VLAN 10. Port 5-7 = VLAN20. Port 8: Tagged VLAN10+20. Endgeräte wie gehabt an die normalen VLAN-Ports (Port 4 ist jetzt auch für Endgeräte gedacht). An Port 8 wiederum kommt ein LAN-Kabel zum Router. Da hier die Pakete mit VLAN-IDs versehen sind, muss auch der Port am Router für VLAN eingerichtet sein. Routing, etc. erfolgt dann nicht zwischen physikalischen Interfaces, sondern zwischen den VLAN-Interfaces für VLAN10 bzw. 20.
Ein VLAN ist ein separates Netzwerk bzw. Subnetz, das sich aber die physikalische Infrastruktur - also Kabel/Switches/Router - mit anderen VLANs teilt. Ein VLAN kann dabei zB vom MikroTik einen eigenen DHCP, DNS, etc. bekommen. Ich persönlich gestalte die Subnetze dann so, dass ich zB VLAN10 auf das Subnetz 192.168.10.0/24 setze und VLAN20 auf das Subnetz 192.168.20.0/24. Man darf aber kreativ sein.
Sofern noch keine Firewall-Regeln definiert wurden, ist ein Router in der Regel so eingestellt, dass er Traffic ungehindert weiterleitet. D.h. VLAN10 und VLAN20 bzw. die beiden Subnetze sehen sich auch. Möchte man das nicht, muss man die Firewall entsprechend konfigurieren, dass sie Traffic von 10 nach 20 und andersherum reglementiert (zB nur bestimmte IPs/Ports) oder ganz blockt. Für den Weg ins Internet muss man nichts weiter tun als dem Router ein Default-Gateway an die Hand zu geben (zB die Fritzbox). Sofern man im Internet-Router statische Routen anlegen kann, sollte man dies dann aber auch tun. Eine Route für das 10er Subnetz mit Ziel = VLAN-Router-IP und analog dazu eine in das 20er Subnetz. Kann der Internet-Router das nicht, dann muss man am VLAN-Router noch ein SNAT einrichten, ein masquerade. Damit kaschiert der VLAN-Router die beiden VLAN-Subnetze hinter seiner eigenen LAN-IP - ganz genau so wie es der Internet-Router mit dem LAN vs Internet macht.
, nur für einfache Szenarien, Gastnetz lässt sich nicht konfigurieren bzgl. IP-Netz, DHCP, etc. 
