Primeiro: se você está sob a obrigação legal de fornecer separação de tráfego, sempre peça a alguém com autoridade para assinar qualquer plano conforme os requisitos legais antes de começar a implementá-lo. Dependendo dos requisitos legais específicos, pode ser que você precise fornecer redes fisicamente separadas sem um ponto de confiança comum.
Dito isso, acho que você basicamente tem três opções: VLANs 802.1Q (melhor) e várias camadas de NAT (pior) e redes fisicamente separadas (mais seguras, mas também complicadas e provavelmente mais caras devido à religação física) .
Estou assumindo aqui que tudo o que já está conectado é Ethernet. Uma parte do padrão geral da Ethernet é o IEEE 802.1Q , que descreve como estabelecer LANs da camada de link distintas no mesmo link físico. Isso é conhecido como VLANs ou LANs virtuais (nota: a WLAN não tem relação alguma e, nesse contexto, normalmente significa LAN sem fio e muitas vezes refere-se a uma das variantes do IEEE 802.11 ). Em seguida, você pode usar um switch de gama alta (o material barato que você pode comprar para uso doméstico geralmente não possui esse recurso; você deseja procurar um switch gerenciado , de preferência aquele que anuncia especificamente o suporte 802.1Q, esteja preparado para pagar um prêmio pelo recurso) configurado para segregar cada VLAN em um conjunto de (possivelmente apenas uma) porta (s). Em cada VLAN, então, comutadores de consumidor comuns (ou gateways NAT com uma porta de uplink Ethernet, se desejado) podem ser usados para distribuir ainda mais o tráfego na unidade de escritório.
A vantagem das VLANs, em comparação com várias camadas de NAT, é que é completamente independente do tipo de tráfego nos fios. Com o NAT, você fica preso ao IPv4 e, talvez, ao IPv6, se tiver sorte, e também precisa enfrentar todas as dores de cabeça tradicionais do NAT, porque o NAT interrompe a conectividade de ponta a ponta (o simples fato de você poder obter uma lista de diretórios de um O servidor FTP através do NAT é um testemunho da engenhosidade de algumas das pessoas que trabalham com essas coisas, mas mesmo essas soluções alternativas geralmente assumem que existe apenas um NAT ao longo da rota de conexão); com VLANs, porque usa uma adição ao quadro Ethernet , literalmente qualquer coisaque podem ser transferidos pela Ethernet podem ser transferidos pela VLAN Ethernet e a conectividade de ponta a ponta é preservada; portanto, no que diz respeito ao IP, nada mudou, exceto o conjunto de nós acessíveis no segmento de rede local. O padrão permite até 4.094 (2 ^ 12 - 2) VLANs em um único link físico, mas equipamentos específicos podem ter limites mais baixos.
Daí a minha sugestão:
- Verifique se o equipamento principal (o que há naquele grande rack de switches na sala de rede) suporta 802.1Q. Se isso acontecer, descubra como configurá-lo e configurá-lo corretamente. Eu recomendaria começar fazendo uma redefinição de fábrica, mas certifique-se de não perder nenhuma configuração importante ao fazê-lo. Certifique-se de aconselhar adequadamente qualquer pessoa que confie nessa conectividade de que haverá interrupções no serviço enquanto você faz isso.
- Se o equipamento principal não suportar 802.1Q, encontre alguns que atendam às suas necessidades em termos de número de VLANs, número de portas, etc., e compre-o. Em seguida, descubra como configurá-lo e configurá-lo corretamente. Isso tem o bônus de que você pode mantê-lo separado durante a configuração, reduzindo o tempo de inatividade para qualquer usuário existente (você deve configurá-lo primeiro, depois remover o equipamento antigo e conectar o novo, para que o tempo de inatividade seja limitado basicamente a como você precisa desconectar e reconectar tudo).
- Faça com que cada unidade de escritório use um comutador ou um "roteador" doméstico ou de pequena empresa (gateway NAT) com uma porta de uplink Ethernet, para distribuir ainda mais a conectividade de rede entre seus próprios sistemas.
Ao configurar os comutadores, limite absolutamente cada VLAN ao seu próprio conjunto de portas e verifique se todas essas portas vão apenas para uma única unidade de escritório. Caso contrário, as VLANs serão pouco mais do que sinais de cortesia "não perturbe".
Como o único tráfego que alcança as saídas Ethernet de cada unidade seria o seu (graças à configuração de VLANs separadas e segregadas), isso deve proporcionar uma separação adequada sem exigir que você reconecte tudo como redes verdadeiramente fisicamente separadas.
Além disso, especialmente se você implementar VLANs ou terminar de religar tudo, aproveite a oportunidade para marcar corretamente todos os cabos com números de unidade e porta! Levará algum tempo extra, mas valerá a pena avançar, especialmente se houver algum tipo de problema de rede no futuro. Verifiquei que herdei um ninho de cabos de rato. E agora? na falha do servidor para obter algumas dicas úteis.