Prima di tutto: se hai l'obbligo legale di fornire la separazione del traffico, chiedi sempre a qualcuno con l'autorità di farlo di firmare su qualsiasi piano come nei requisiti legali prima di iniziare a implementarlo. A seconda dei requisiti di legge specifici, che potrebbe essere solo che si hanno a fornire reti fisicamente separate con nessun punto di fiducia comune.
Detto questo, penso che tu abbia fondamentalmente tre opzioni: VLAN 802.1Q (migliore) e più livelli di NAT (peggio) e reti fisicamente separate (più sicure, ma anche complicate e probabilmente più costose a causa del ricablaggio fisico) .
Sto assumendo qui che tutto ciò che è già cablato sia Ethernet. Una parte dello standard Ethernet generale è ciò che è noto come IEEE 802.1Q , che descrive come stabilire LAN distinte a livello di collegamento sullo stesso collegamento fisico. Questo è noto come VLAN o LAN virtuale (nota: la WLAN non è completamente correlata e in questo contesto normalmente sta per Wireless LAN e molto spesso si riferisce a una delle varianti IEEE 802.11 ). È quindi possibile utilizzare uno switch di fascia alta (le cose economiche che è possibile acquistare per uso domestico in genere non dispongono di questa funzione; si desidera cercare uno switch gestito , idealmente uno che pubblicizza specificamente il supporto 802.1Q, sebbene siate pronti a pagare un premio per la funzione) configurato per separare ciascuna VLAN in un set di (possibilmente solo una) porta (e). Su ciascuna VLAN, quindi, è possibile utilizzare switch consumer comuni (o gateway NAT con una porta Ethernet uplink, se lo si desidera) per distribuire ulteriormente il traffico all'interno dell'unità ufficio.
Il lato positivo delle VLAN, rispetto a più livelli di NAT, è che è completamente indipendente dal tipo di traffico sui cavi. Con NAT, sei bloccato con IPv4 e forse IPv6 se sei fortunato e devi anche fare i conti con tutti i tradizionali mal di testa di NAT perché NAT rompe la connettività end-to-end (il semplice fatto che puoi ottenere un elenco di directory da un Il server FTP tramite NAT è una testimonianza dell'ingegnosità di alcune persone che lavorano con quella roba, ma anche quelle soluzioni alternative di solito presuppongono che ci sia un solo NAT lungo il percorso di connessione); con le VLAN, perché utilizza un'aggiunta al frame Ethernet , letteralmente qualsiasi cosache può essere trasferito su Ethernet può essere trasferito su VLAN Ethernet e viene preservata la connettività end-to-end, quindi per quanto riguarda l'IP, nulla è cambiato tranne l'insieme di nodi che sono raggiungibili sul segmento di rete locale. Lo standard consente fino a 4.094 (2 ^ 12 - 2) VLAN su un singolo collegamento fisico, ma attrezzature specifiche potrebbero avere limiti inferiori.
Da qui il mio suggerimento:
- Verifica se l'apparecchiatura principale (che si trova in quel grande rack di switch nella stanza della rete) supporta 802.1Q. In tal caso, scopri come configurarlo e impostalo correttamente. Consiglierei di iniziare eseguendo un ripristino delle impostazioni di fabbrica, ma assicurandoti di non perdere alcuna configurazione importante. Assicurati di avvisare adeguatamente chiunque si affidi a quella connettività che ci saranno interruzioni del servizio mentre lo fai.
- Se l'apparecchiatura master non supporta lo standard 802.1Q, trova quello che fa e soddisfa le tue esigenze in termini di numero di VLAN, numero di porte e così via e acquistalo. Quindi scopri come configurarlo e impostarlo correttamente. Questo ha il vantaggio di poterlo tenere separato durante l'impostazione, riducendo i tempi di inattività per tutti gli utenti esistenti (lo configureresti prima, quindi rimuovi le vecchie apparecchiature e aggancia le nuove, quindi i tempi di inattività sarebbero limitati essenzialmente a come a lungo è necessario scollegare e ricollegare tutto).
- Chiedi a ogni unità di ufficio di utilizzare uno switch o un "router" domestico o per piccole imprese (gateway NAT) con una porta Ethernet uplink, per distribuire ulteriormente la connettività di rete tra i propri sistemi.
Quando si configurano gli switch, accertarsi assolutamente di limitare ogni VLAN al proprio set di porte e assicurarsi che tutte queste porte vadano solo su una singola unità ufficio. Altrimenti, le VLAN saranno poco più che segnali di cortesia "non disturbare".
Poiché l'unico traffico che raggiunge le prese Ethernet di ciascuna unità sarebbe il proprio (grazie alla configurazione di VLAN separate e separate), ciò dovrebbe fornire un'adeguata separazione senza la necessità di ricablare tutto come reti fisicamente separate.
Inoltre, soprattutto se si implementano VLAN o si finisce per ricablare tutto, cogliere l'occasione per contrassegnare correttamente tutti i cavi con numeri di unità e porte! Ci vorrà un po 'di tempo in più, ma ne varrà la pena in futuro, soprattutto se ci sono problemi di rete in futuro. Dai un'occhiata che ho ereditato il nido di cavi di un topo. E adesso? in Server Fault per alcuni suggerimenti utili.