Возможно ли настроить DI-808 так, чтобы не возникало возможности доступа от порта LAN к порту LAN, но у всех LAN-портов был бы доступ к порту WAN? Есть ли возможность выдавать клиентам DHCP разные маски подсети? Если нет, то у какого маршрутизатора эта возможность есть?

Заранее благодарен.

Нельзя по обоим пунктам.

А какой аппарат подойдёт для этих целей?

Боюсь что одним аппаратом не обойтись. Нужен L2-коммутатор и роутер понимающий vlan. Еще лучше обычный роутер и L3-коммутатор.
Самый дешевый вариант 804+1008D(спецверсия).

В смысле, DI-804 и DES-1008D? Просто уже сейчас есть 808HV и свитч 1008 (в наличии буквы D в оконцовке не уверен). И что это за спецверсия?
Заранее благодарен.

Существует спецверсия DES-1008D/RV в которой 1 порт видет все, а все остальный только его. Но при этом он по-прежнему неуправляемый.

А где такой достать? Можно ли перепрошить обычный? И можно ли или 2108?

Почётче обрисую ситуацию: есть сервер с Kerio Winroute, раздающий интернет и есть несколько рабочих групп, доступ друг к другу которых требуется закрыть. Но к серверу должны иметь возможность обращаться все. Можно ли подключать к портам 2108 роутеры 808 и добиться этого?

Если есть Winroute зачем 808ые? 2108 может разделить подсети, но сетевая карта сервера дожна понимать 802.1q.

808-е для того, чтобы в рабочей группе был свой маленький агрегат , т.е. чтобы на свитче прописывать только один mac.

Что-то я совсем запутался. Схему сети опишите целиком.

Стоит сервер, на который приходит интернет, раздаваемый Kerio Winroute. Есть несколько рабочих групп, которым нужен доступ в интернет, но никому из них не нужен доступ в другую рабочую группу. С целью обеспечения безопасности используется фильтрация по mac-адресам. Соответственно, возникает вопрос, возможно ли подключить сервер к одному порту на DES-2108, а рабочие группы подключать к 2108 через DI-808 (по одному на рабочую группу)?

808е в данной схеме не нужны. Все это может обеспечить 2108 и неупраляемые свичи для каждой группы. Свичи можно заменить на 808е, но кардинально это ничего не изменит.

Может ли 808 блокировать/фильтровать по мак-адресу входящие подключения?