По-перше: Якщо у вас є юридичні зобов'язання щодо забезпечення розділення руху, завжди дозвольте комусь, хто має повноваження зробити це, щоб підписатися на будь-який план, як це передбачено законодавчими вимогами, перш ніж розпочати його виконання. Залежно від конкретних юридичних вимог, можливо, вам доведеться надавати фізично окремі мережі, що не мають спільної точки довіри.
З цього приводу я думаю, що в основному у вас є три варіанти: 802.1Q VLAN (краще) та декілька шарів NAT (гірше) та фізично окремі мережі (найбільш безпечні, але також складні та, ймовірно, найдорожчі через фізичну перемотування) .
Я припускаю, що все, що вже пов'язано, - це Ethernet. Однією частиною загального стандарту Ethernet є те, що відомо як IEEE 802.1Q , де описано, як встановити окремі локальні локальні мережі на одному і тому ж фізичному зв’язку. Це відоме як VLAN або віртуальні локальні мережі (зверніть увагу: WLAN абсолютно не пов'язаний і в цьому контексті зазвичай розшифровується як бездротова локальна мережа і дуже часто відноситься до одного з варіантів IEEE 802.11 ). Потім ви можете використовувати вимикач вищого класу (дешеві речі, які ви можете придбати для домашнього використання, зазвичай не мають цієї функції; ви хочете шукати керований перемикач , в ідеалі той, який спеціально рекламує підтримку 802.1Q, але будьте готові заплатити премію за функцію), налаштовану розділити кожну VLAN на набір (можливо, лише один) порт (и). Тоді на кожній VLAN загальні споживчі комутатори (або NAT-шлюзи з портом висхідної лінії Ethernet, за бажанням) можуть використовуватися для подальшого розподілу трафіку в офісному блоці.
Переваги VLAN, порівняно з декількома шарами NAT, полягають у тому, що він повністю незалежний від типу трафіку на провідниках. З NAT, ви застрягли з IPv4 і, можливо, з IPv6, якщо вам пощастило, а також вам доведеться боротися зі всіма традиційними головними болями NAT, оскільки NAT порушує підключення до кінця (простий факт, що ви можете отримати список каталогу з FTP-сервер через NAT є свідченням винахідливості деяких людей, які працюють з цими матеріалами, але навіть ті способи вирішення зазвичай припускають, що на маршруті з'єднання є лише один NAT); з VLAN, оскільки він використовує додаток до кадру Ethernet , буквально всеякі можна перенести через Ethernet, можна перенести через VLAN Ethernet і зберегти підключення до кінця, тому що стосується IP, нічого не змінилося, крім набору вузлів, доступних у сегменті локальної мережі. Стандарт дозволяє використовувати до 4 094 (2 ^ 12 - 2) VLAN на одному фізичному зв’язку, але конкретне обладнання може мати нижчі межі.
Звідси моя пропозиція:
- Перевірте, чи підтримує головне обладнання (що знаходиться у цій великій стійці комутаторів у мережевій кімнаті) 802.1Q. Якщо це так, то дізнайтеся, як його налаштувати, і налаштуйте його правильно. Я б рекомендував почати, виконуючи скидання заводських налаштувань, але переконайтесь, що ви не втратите жодної важливої конфігурації, зробивши це. Будьте впевнені, щоб належним чином порадити будь-кому, хто покладається на той зв'язок, що відбуватимуться перебої в обслуговуванні, поки ви це робите.
- Якщо головне обладнання не підтримує 802.1Q, знайдіть те, що відповідає та відповідає вашим потребам щодо кількості VLAN, кількості портів тощо, і придбайте його. Потім з’ясуйте, як його налаштувати та правильно налаштувати. Це бонус, який ви могли б тримати окремо під час налаштування речей, скорочуючи час простою для будь-яких існуючих користувачів (ви б встановили його спочатку, потім видалили старе обладнання та підключили нове, тож час простою буде обмежений в основному тим, як довго вам потрібно все відключити та підключити заново.
- Дозволяти кожному офісному підрозділу використовувати комутатор або домашній або малий бізнес-маршрутизатор (NAT шлюз) з портом Ethernet висхідної лінії зв'язку для подальшого поширення підключення до мережі між власними системами.
Конфігуруючи комутатори, обов'язково обмежте кожен VLAN своїм власним набором портів і переконайтесь, що всі ці порти переходять лише на один офісний блок. В іншому випадку VLAN буде трохи більше ніж ввічливість знаків "не турбувати".
Оскільки єдиний трафік, який досягає розетки Ethernet кожного блоку, буде власним (завдяки налаштуванням окремих, відокремлених VLAN), це повинно забезпечити адекватне розділення, не вимагаючи від вас перебудовувати все як справді фізично окремі мережі.
Крім того, особливо якщо ви впроваджуєте VLAN або закінчуєте повторне з'єднання все-таки, скористайтеся можливістю правильно позначити всі кабелі номерами номерів пристрою та порту! Це займе трохи додаткового часу, але буде більш ніж варте того, щоб продовжувати, особливо якщо в майбутньому є якась проблема з мережею. Перевірте, що я успадкував щуряче гніздо кабелів. Що тепер? про помилку сервера для корисних підказок.