Cisco SG 350 Vlan Konfig

Hier steht wie es geht sogar mit Bildern zum Cisco Switch.
Layer 2 VLAN Konfig (ohne Routing):
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern

Layer 3 (Routing) VLAN Konfig:
Verständnissproblem Routing mit SG300-28
Da steht alles was du zu dem Thema wissen musst.

OK
Richtig, denn im Default liegen alle Ports im Default VLAN 1
Übrigens ist es keine gute Idee Infrastruktur Komponenten dynmaische IPs zu geben. Also am besten statisch ala .178.2 oder zumindestens über die Mac Reservierung im FB DHCP Server fest zuweisen.
Pfiffig wäre wenn man das VLAN quasi in die IP Netzadresse "reinkodiert" z.B. bei ID 100 dann 192.168.100.0 /24 oder 172.16.100.0 /24 usw. das erleichtert das spätere Management. Letzlich ist es aber rein kosmetisch und man kann natürlich frei wählen.
Das geht logischerweise so NICHT !!!
Denn wenn du mit einer VLAN IP Adresse 192.168.1.1 am Switch damit das IP Netz 192.168.1.0 /24 fest vorgibst kannst du dann niemals die FritzBox dort ein 192.198.189.0er IP Netz verteilen lassen. Damit hast du dann einen schweren IP Adress Konflikt. Das kann niemals so gehen und ist ein fataler Konfig Fehler und weiss auch ein IT Laie sofort !!
Für dieses VLAN 100 darf der 350er Switch also niemals eine VLAN IP konfiguriert bekommen !!!
Ohne eine VLAN IP hast du dann rein nur ein reicnes Layer 2 VLAN was dann nicht auf dem Switch geroutet wird. Logisch, denn das soll und darf es ja auch nicht denn nur die FritzBox darf das routen und DHCPs dort vergeben !! Du willst ja nicht das Gäste von hinten über den L3 Switch so Zugang zu deinen privaten VLANs bekommen.
Fazit also: Keine VLAN IP fürs FritzBox Gastnetz am Switch und auch keinen DHCP Server fürs Gastnetz im Switch!!! Die VLAN IP Adresse in deinem VLAN 100 muss also zwingend entfernt werden ! Das Gast VLAN darf rein nur als Layer 2 VLAN ohne IP existieren wenn es isoliert sein soll und muss.
Ein Trunk kann niemals etwas "abfragen", das ist technischer Unsinn. Mit Trunk meinst du einen Tagged Uplink, oder ?? Der Begriff "Trunk" ist leider etwas widersprüchlich in der IT.
Cisco beschreibt damit einen Tagged Uplink und im Rest der Netzwerk Welt ist das eine Link Aggregation mit LACP LAGs.
So sieht sowas z.B. mit der FritzBox aus wenn man es richtig macht (Gastnetz hier im VLAN 10):
Die dir ja die Skizze oben beantwortet.

• Setzt man den Port als "Access Port" ins VLAN 1 (PVID 1) ist der Port im normalen FB LAN
• Setzt man den Port als "Access Port" ins VLAN 100 (PVID 100) ist der Port im FB Gastnetz

So einfach ist die simple VLAN Logik !

Zitieren geht übrigens mit der spitzen Klammer ! Formatting instructions in the posts 😉
OK, das ist ja auch ne Lachnummer und steht oben ja bereits bzw. man sieht es ja im Bildchen oben. Switchports als simple Access Ports ins VLAN 100 (PVID 100) und fertig ist der Lack !
Sorry, aber den technischen Kauderwelsch versteht leider kein Mensch ?! Wie ist das gemeint..??
Ein Routing vom oder ins Gast VLAN ist in deinem Konstrukt so wie oben unmöglich. Ohne eine VLAN 100 IP ist eine Gast Kommunikation nur rein ins Internet möglich und nirgend wo anders hin. Klar, denn ohne Switch (VLAN) IP kann das Gastnetz ja einzig nur via FB geroutet werden und die FB lässt aus guten Gründen einen Gast Zugriff auf das private LAN nicht zu.

Will man das dennoch, kann man das lösen...
Dann musst du aber doch wieder eine IP VLAN Adresse auf dem Switch im VLAN 100 aus dem FB Gastnetz anlegen also z.B. 192.168.189.254 /24 anlegen und eine statische Route auf der FritzBox definieren die dir ein Routing der Gäste über die Switch IP ins private LAN ermöglicht. Der Cisco350 ist ja ein Routing fähiger Switch und das würde gehen.
Das wäre dann aber eine sehr gefährliche Sache denn damit ist ein ungeschützter Zugriff Gäste aufs Privatnetz gegeben.
Du müsstest dann auf dem Switch zwingend mit absolut wasserdichten Access Listen arbeiten die diesen Traffic genau regeln. Die Gefahr die da noch besteht ist das Switch ACLs nicht Stateful sind.
Da spielt man also absolut mit dem Feuer wenn man sowas macht und solch einen Sicherheits kritischen Unsinn sollte man sich sehr gut überlegen. Das es technisch machbar ist steht außer Frage. Ob man es Sicherheits technisch machen sollte ist eine ganz andere. Da spricht unter normalen Umständen alles strikt dagegen.

Deine Lösung oben geht auch wenn du Port 8 als Trunk definierst und das Native VLAN auf 100 setzt und die anderen VLANs wie 1 auf Tagged.
Damit ist dann ein normaler Client an Port 8 immer im Gastnetz, klar, denn durch die PVID 100 wird ungetaggter Traffic immer ins VLAN 100 gesendet. Um dann Traffic ins private VLAN 1 zu senden müsste das Endgerät diesen Traffic dann mit der Privat VLAN ID taggen. Das geht natürlich wenn man den Netzwerkadpter entsprechen einstellt.
Wie das zu machen ist kannst du hier nachlesen:
VLANs über 802.1q Trunk auf Windows und Linux Rechnern realisieren

Aber auch das ist eine gruselige Frickelei und man hat das Problem das das Gastnetz auch wieder ungeschützt direkt an solchen Endgeräten ist die es wieder mit dem Privatnetz verbinden. Ein Fehler dort und das Privatnetz ist kompromittiert.
Viel viel sinnvoller ist es dann mit dynamischen VLANs zu arbeiten.
Man klassifiziert die bekannten Geräte auf Basis ihrer Mac Adresse oder ihres Hostnamens als Mitglieder eines VLANs und der Switchport forwardet dann dynamisch je nach Endgerät und Authentisierung dieses Gerätes den Datenverkehr ins Private VLAN. Alle Geräte die er nicht kennt wandern ins Gast Netz. Nennt sich "dynamische VLANs".
Dein Cisco 350er supportet das problemlos und wie man das umsetzt erklären z.B. diese Tutorials:
Netzwerk Zugangskontrolle mit 802.1x und FreeRadius am LAN Switch
Cisco SG 350x Grundkonfiguration
Oder für WLAN z.B. hier:
Dynamische VLAN Zuweisung für WLAN (u. LAN) Clients mit Mikrotik

Du musst also jetzt nur noch überlegen was du wirklich willst mit deinen Endgeräten.

Zweiter Versuch !
Zitieren geht mit der spitzen Klammer !! Siehe auch: Formatting instructions in the posts
FAQs helfen wirklich !

Du bist auf der richtigen Spur !

Kann man überhaupt nicht empfehlen, selbst wenn es irgendwo eines gibt.
Alle Hilfeseiten sind Englisch und werden so nur umso schwieriger zu verstehen.

Bahnhof, Ägypten ?? Welche ominösen Regeln sollten das denn sein ? Normal gilt bei Radius und dynamischen VLANs immer nur schwarz weiss, also Mac bekannt = Darf ins Netz mit VLAN x. Mac nicht bekannt = darf nicht ins Netz. Fertisch...
Aber gibts in so einem Regelwerk nicht oder du hast da etwas gründlich missverstanden.
Zeigt leider ebenso wie die obigen "Regeln" das du nur sehr wenig bis keinerlei Ahnung von Netzwerk Hardware hast. Die Ciscos von denen du da redest sind auch nur billige SoHo Modelle und mickrig im Vergleich zum Featureset eines Cisco Catalysten.
Das zeigt dir dann vermutlich auch einmal mit welchen recht naiven und beschränkten (Netzwerk) Horizont du unterwegs bist. Du erwartest das man mit einem Flugzeug mit Gummiband Motor zum Mars fliegt und beschimpfst alle die das nicht hinbekommen als technikferne Dummies weil du selber nicht einmal bis zum Mond sehen kannst. Aber egal, muss man sicher nicht weiter kommentieren in einem Administrator Forum....

Cisco Syntax ist quasi die Lingua Franca der Konfig Syntax im Netzwerk. Die Konfig Logik spiegelt sich in fast allen Produkten anderer Hersteller wider. Wenn man also eine Teilmenge davon kennt ist das sicher vorteilhaft weil man dann auch den gesamten Rest kennt.
Du setzt aber voraus das man mit laienhaftem Klicki Bunti GUI, FritzBox Wissen zum Mars fliegen kann. Eine recht einseitige und auch naive Sichtweise der ganzen Thematik wie du dir sicher auch selber denken kannst. Wenn du das auf deinen richtigen Job runterbrichst, wo du Profi bist, wirst du das sicher auch ähnlich sehen.
Das ist so wenn der Mathematiker für die Umlaufbahn sein Zimmer tapezieren und streichen muss und aus Unkenntnis daran scheitert und dann auf Pinsel, Kleister und das Wetter schimpft. Genau das ist das was du oben machst... Also besser mal in dich gehen und nachdenken ob das wirklich der richtige Weg ist !

Ist sicher das Vernünftigste....
Was genau ist denn nun noch nicht "komplett" ??
Die Endgeräte an den Ports liefern doch, wie oben beschrieben, statisch die VLAN Information immer mit, da sie ja laut Aussage des TOs immer getaggt sind.
(Zitat des TO: "die bekannten Endgeräte werden mit einer Vlan ID getaggt..."
Damit liefern diese Endgeräte dem Switch ja auch ohne Radius die VLAN ID in die sie sollen quasi frei Haus mit und der Switch kann entsprechend reagieren und den Endgeräte Traffic dann immer richtig forwarden in dieses VLAN.
Problem gelöst...oder was war da jetzt noch offen bzw. nicht komplett ?!