тогад на портах, чего уж. как я предложил выше, как вариант.
можно поизвращаться и прокинуть vlan через свитч и на нем адресацию повесить на int vlan.
Ещё вопрос, я правильно понимаю.... Когда 1 физ интерфейс и 2 провайдера приходят вланами, провайдерские ip сажаем на саб интерфейсы от физики, а для туннеля используем loopback интерфейс?