En primer lugar: si tiene la obligación legal de proporcionar separación de tráfico, siempre solicite a alguien con la autoridad para hacerlo que apruebe cualquier plan según los requisitos legales antes de comenzar a implementarlo. Dependiendo de los requisitos legales específicos, que sólo podría ser que va a tener para proporcionar redes físicamente separadas sin ningún punto común confianza.
Dicho esto, creo que básicamente tiene tres opciones: VLAN 802.1Q (mejor) y múltiples capas de NAT (peor) y redes físicamente separadas (más seguras, pero también complicadas y probablemente más caras debido al cableado físico) .
Asumo aquí que todo lo que ya está conectado es Ethernet. Una parte del estándar general de Ethernet es lo que se conoce como IEEE 802.1Q , que describe cómo establecer distintas LAN de capa de enlace en el mismo enlace físico. Esto se conoce como VLAN o LAN virtuales (nota: la WLAN no tiene ninguna relación y, en este contexto, normalmente significa LAN inalámbrica y con frecuencia se refiere a una de las variantes IEEE 802.11 ). Luego, puede usar un conmutador de gama alta (las cosas baratas que puede comprar para uso doméstico generalmente no tienen esta característica; desea buscar un conmutador administrado , idealmente uno que anuncie específicamente el soporte 802.1Q, aunque esté preparado para pagar una prima por la función) configurada para segregar cada VLAN a un conjunto de (posiblemente solo uno) puerto (s). En cada VLAN, entonces, los conmutadores de consumo comunes (o puertas de enlace NAT con un puerto de enlace ascendente Ethernet, si se desea) se pueden usar para distribuir aún más el tráfico dentro de la unidad de oficina.
La ventaja de las VLAN, en comparación con las múltiples capas de NAT, es que es completamente independiente del tipo de tráfico en los cables. Con NAT, está atrapado con IPv4 y tal vez IPv6 si tiene suerte, y también tiene que lidiar con todos los dolores de cabeza tradicionales de NAT porque NAT interrumpe la conectividad de extremo a extremo (el simple hecho de que puede obtener un listado de directorio de un El servidor FTP a través de NAT es un testimonio del ingenio de algunas de las personas que trabajan con esas cosas, pero incluso esas soluciones usualmente suponen que solo hay un NAT a lo largo de la ruta de conexión); con VLAN, porque utiliza una adición a la trama de Ethernet , literalmente, cualquier cosaque se puede transferir a través de Ethernet se puede transferir a través de VLAN Ethernet y se preserva la conectividad de extremo a extremo, por lo que en lo que respecta a IP, nada ha cambiado excepto el conjunto de nodos a los que se puede acceder en el segmento de red local. El estándar permite hasta 4,094 (2 ^ 12 - 2) VLAN en un solo enlace físico, pero un equipo específico puede tener límites más bajos.
De ahí mi sugerencia:
- Verifique si el equipo maestro (lo que hay en ese gran estante de conmutadores en la sala de red) es compatible con 802.1Q. Si es así, descubra cómo configurarlo y configúrelo correctamente. Recomendaría comenzar haciendo un restablecimiento de fábrica, pero asegúrese de no perder ninguna configuración importante al hacerlo. Asegúrese de avisar adecuadamente a cualquiera que confíe en esa conectividad que habrá interrupciones del servicio mientras lo hace.
- Si el equipo maestro no es compatible con 802.1Q, encuentre alguno que lo haga y satisfaga sus necesidades en términos de número de VLAN, número de puertos, etc., y cómprelo. Luego descubra cómo configurarlo y configúrelo correctamente. Esto tiene la ventaja de que podría mantenerlo separado mientras configura las cosas, reduciendo el tiempo de inactividad para los usuarios existentes (primero lo configuraría, luego quitaría el equipo viejo y conectaría el nuevo, por lo que el tiempo de inactividad se limitaría básicamente a cómo siempre necesita desconectar y volver a enchufar todo).
- Haga que cada unidad de oficina use un conmutador, o un "enrutador" para el hogar o la pequeña empresa (puerta de enlace NAT) con un puerto de enlace ascendente Ethernet, para distribuir aún más la conectividad de red entre sus propios sistemas.
Cuando configure los conmutadores, asegúrese de limitar cada VLAN a su propio conjunto de puertos, y asegúrese de que todos esos puertos vayan solo a una sola unidad de oficina. De lo contrario, las VLAN serán poco más que signos de cortesía de "no molestar".
Debido a que el único tráfico que llega a las salidas Ethernet de cada unidad sería el suyo (gracias a la configuración de VLAN separadas y segregadas), esto debería proporcionar una separación adecuada sin requerir que vuelva a cablear todo como redes verdaderamente separadas físicamente.
Además, especialmente si implementa VLAN o termina volviendo a cablear todo, ¡aproveche la oportunidad para etiquetar correctamente todos los cables con números de unidad y puerto! Tomará algo de tiempo extra, pero valdrá la pena seguir adelante, especialmente si hay algún tipo de problema de red en el futuro. Mira que heredé el nido de cables de una rata. ¿Ahora que? en Server Fault para obtener algunos consejos útiles.