BMSerg

>Что нужно для защиты локальной сети банка?
Многое. Начинать с найма соответствующих специалистов :)
ЗЫ Касательно "лабораторной" - инфраструктура CA внутренняя потребуется: все самоподписные сертификаты оборудования, серверов и рабочих станций менять на собственного выпуска, инспекцию SSL на FortiGate делать, VPN и 802.1X настраивать, и еще для многих вещей - в банке он есть в обязательном порядке.

- Товарищ прапорщик, посмотрите - у кружки кто-то верх запаял!
Прапорщик берет у бойца кружку, осматривает...
- ...! А дна-то тоже нет!

Если ищете замену Cisco - можно поглядеть в сторону Aruba, функционал у их железа запредельный, изучать и разбираться не меньше года будете. Но это тоже недешево, если не нужны лишние навороты - ubiquiti отличный выбор.

Перегрузка коммутаторов. Если это дешевые тупые неуправляемые коммутаторы - неудивительно. Меняйте на что-то более профессиональное вроде старых от сisco - их можно найти по 1500-2000 руб. за 24 порта на распродажах, для офиса из 4-х коммутаторов это копейки.

100BASE-FX работает на разных волокнах для приема и передачи на расстояниях до 2 км, правда медиаконверторы такие мне давно не встречались и скорее всего будут старыми как говно мамонта с соответствующей деградацией излучающих и принимающих элементов - не стоит связываться.
1000BASE-LX на многомоде работает на расстояниях до 550 м, не ваш вариант по длине, остается 1000BASE-LX на одномоде.
Если нужен первоисточник со всеми вариантами - смотрите длину сегмента для одномода и многомода в стандартах IEEE 802.3u, 802.3z, 802.3ae и 802.3aq, либо консолидированный IEEE 802.3-2015
P.S. Кабель на 4 волокна бухтами по несколько километров выходит дешевле витой пары за метр. Команда для протяжки кабеля и сварки желательна профессиональная, об этом писали уже. Есть самонесущие оптоволоконные кабели для воздушной прокладки - можно кинуть по столбам или между зданиями.
P.P.S. Можете глянуть на радиомосты Ubiquiti, если у вас условия позволяют использовать радиорелейку - вот уж точно цена и количество геморроя при монтаже будут заметно меньше, можно и своими силами сделать.

GNS3 прекрасно подходит для моделирования маршрутизации, но возможностей моделировать коммутацию на нем - не хватает. Не научились работу asic'ов эмулировать.

Default gateway на хосте всегда один. Нужно настроить на хосте маршрутизацию, т.е. задать правила для каких IP сетей через какой IP (внешнию шлюз) он будет слать пакеты. Пакеты от адресатов тоже должны доходить до хоста - либо через таблицы маршрутизации этих хостов, либо через промежуточные router'ы. IMHO на хосте и в windows и в linux маршрутизация настраивается через команду route. Не забыть что после перезагрузки хоста таблица маршрутизации должна загружаться в его память заново autorun скриптом в windows либо init скриптом в linux.