В DES-3528 (который, как я понимаю, входит в линейку DES-35XX) возможно создание двух интерфейсов. Один использую для управления, а через другой бегает dhcp_relay

Command: show switch

Device Type : DES-3528 Fast Ethernet Switch
MAC Address : 00-21-91-B0-30-50
IP Address : 10.109.28.1 (Manual)
VLAN Name : XXXX
Subnet Mask : 255.255.255.0
Default Gateway : XXX.XXX.XXX.XXX
Boot PROM Version : Build 1.00.B007
Firmware Version : Build 2.00.B027
Hardware Version : A1
Serial Number : P1UM188000211

DES-3528:5#show ipif
Command: show ipif

IP Interface : System
VLAN Name : XXXX
Interface Admin state : Enabled
IPv4 Address : XXX.XXX.XXX.XXX/24 (Manual) Primary
Proxy ARP : Disabled (Local : Disabled)

IP Interface : upr
VLAN Name : YYYY
Interface Admin state : Enabled
IPv4 Address : 10.116.0.70/16 (Manual) Primary
Proxy ARP : Disabled (Local : Disabled)

А смысл? dhcp_relay можно пропускать и через management vlan, он же юникастом идёт.

У нас сеть управления свичами отделена от сети абонентов.
Вплоть до того, что устройства, управляемые через управляющий vlan не имеют даже маршрута на сеть абонентов. Т.е. DHCP сервер ничего не знает о подсети управления свичами.

Ну так и у нас так. DHCP relay отправляет свои запросы по управляющему влану, как раз чтобы не гуляло по пользовательскому.

Ты меня неправильно понял. DHCP сервер и управляющий vlan находятся мало того, что в разных подсетях, так они еще и подключены к разным свичам. Т.е. до DHCP сервера доходит только пользовательский vlan.

В этой серии в последней прошивке поддерживается до 16 IP-интерфейсов и статическая маршрутизация между ними. А просто Option 82 insertion (DHCP Local Relay) Вам не подойдёт? Он позволяет добавлять поля Option 82 в Broadcast DHCP пакеты в клиентских VLAN-ах.

Мне нужна именно "маршрутизация" на dhcp сервер. Во избежание паразитного трафика от клиентских коммутаторов. А так я все "левые" IP адреса могу отправлять в null. Как показала практика - это более эффективное решение, чем ACL, traffic control и т.п.
Для примера, у нас много оборудования, где аппаратно зашит адрес некоего syslog или ntp сервера, который находится не в моей сети.
Поверьте, такое оборудование до сих пор встречается.