Tout d'abord: si vous êtes légalement tenu de procéder à la séparation du trafic, demandez toujours à une personne habilitée à le faire de signer tout plan conformément aux exigences légales avant de commencer à le mettre en œuvre. En fonction des exigences juridiques spécifiques, il pourrait bien être que vous avez à fournir des réseaux physiquement séparés sans point de confiance commun.
Cela dit, je pense que vous avez essentiellement trois options: VLAN 802.1Q (mieux) et plusieurs couches de NAT (pire) et réseaux physiquement séparés (les plus sécurisés, mais aussi compliqués et probablement les plus chers en raison du recâblage physique) .
Je suppose ici que tout ce qui est déjà câblé est Ethernet. Une partie de la norme Ethernet globale est ce que l'on appelle IEEE 802.1Q , qui décrit comment établir des réseaux locaux de couche liaison distincts sur la même liaison physique. C'est ce que l'on appelle des VLAN ou des LAN virtuels (remarque: le WLAN n'est absolument pas lié et dans ce contexte signifie normalement LAN sans fil et se réfère très souvent à l'une des variantes IEEE 802.11 ). Vous pouvez ensuite utiliser un commutateur haut de gamme (les produits bon marché que vous pouvez acheter pour un usage domestique n'ont généralement pas cette fonctionnalité; vous souhaitez rechercher un commutateur géré , idéalement un qui annonce spécifiquement la prise en charge 802.1Q, mais soyez prêt à payer une prime pour la fonctionnalité) configuré pour séparer chaque VLAN en un ensemble (éventuellement un seul) port (s). Sur chaque VLAN, des commutateurs de consommation courants (ou des passerelles NAT avec un port de liaison montante Ethernet, si vous le souhaitez) peuvent alors être utilisés pour répartir davantage le trafic au sein de l'unité de bureau.
L'avantage des VLAN, par rapport à plusieurs couches de NAT, est qu'il est complètement indépendant du type de trafic sur les câbles. Avec NAT, vous êtes coincé avec IPv4 et peut - être IPv6 si vous êtes chanceux, et devez également faire face à tous les maux de tête traditionnels de NAT parce que NAT rompt la connectivité de bout en bout (le simple fait que vous pouvez obtenir une liste de répertoires à partir d'un Le serveur FTP via NAT est un témoignage de l'ingéniosité de certaines personnes qui travaillent avec ce genre de choses, mais même ces solutions de contournement supposent généralement qu'il n'y a qu'un seul NAT le long de la route de connexion); avec les VLAN, car il utilise un ajout à la trame Ethernet , littéralement n'importe quoiqui peut être transféré via Ethernet peut être transféré via VLAN Ethernet et la connectivité de bout en bout est préservée, de sorte qu'en ce qui concerne IP, rien n'a changé, sauf l'ensemble de nœuds accessibles sur le segment de réseau local. La norme autorise jusqu'à 4 094 (2 ^ 12 - 2) VLAN sur une seule liaison physique, mais un équipement spécifique peut avoir des limites inférieures.
D'où ma suggestion:
- Vérifiez si l'équipement maître (qui se trouve dans ce grand rack de commutateurs dans la salle réseau) prend en charge 802.1Q. Si tel est le cas, découvrez comment le configurer et le configurer correctement. Je recommanderais de commencer par faire une réinitialisation d'usine, mais assurez-vous de ne pas perdre de configuration importante en le faisant. Assurez-vous de bien conseiller à toute personne qui s'appuie sur cette connectivité qu'il y aura des interruptions de service pendant cette opération.
- Si l'équipement maître ne prend pas en charge 802.1Q, trouvez-en un qui le fait et répond à vos besoins en termes de nombre de VLAN, de nombre de ports, etc., et achetez-le. Découvrez ensuite comment le configurer et le configurer correctement. Cela a l'avantage de pouvoir être séparé pendant la configuration, réduisant les temps d'arrêt pour tous les utilisateurs existants (vous le configurez d'abord, puis retirez l'ancien équipement et connectez le nouveau, de sorte que le temps d'arrêt serait limité à la façon dont longtemps, vous devez débrancher et rebrancher tout).
- Demandez à chaque unité de bureau d' utiliser un commutateur ou un «routeur» domestique ou de petite entreprise (passerelle NAT) avec un port de liaison montante Ethernet, pour répartir davantage la connectivité réseau entre leurs propres systèmes.
Lorsque vous configurez les commutateurs, assurez-vous absolument de limiter chaque VLAN à son propre ensemble de ports, et assurez-vous que tous ces ports ne vont qu'à une seule unité de bureau. Sinon, les VLAN ne seront guère plus que des panneaux de courtoisie «ne pas déranger».
Parce que le seul trafic qui atteint les prises Ethernet de chaque unité serait le leur (grâce à la configuration de VLAN séparés et séparés), cela devrait fournir une séparation adéquate sans vous obliger à tout recâbler comme des réseaux réellement physiquement séparés.
De plus, surtout si vous implémentez des VLAN ou finissez par tout recâbler, profitez-en pour étiqueter correctement tous les câbles avec les numéros d'unité et de port! Cela prendra du temps supplémentaire, mais cela en vaudra plus que la peine d' aller de l'avant, surtout s'il y a un problème de réseau à l'avenir. Vérifiez que j'ai hérité d'un nid de câbles de rat. Et maintenant? sur Server Fault pour quelques conseils utiles.