CityCat4

Даже самый дишманский хостинг решает как минимум три вопроса, которые иначе придется решать Вам самому:
- Резервное копирование
- Электропитание (упсники и все прочее)
- Надежность узлов сервера (в смысле замена сдохших винтов и т.д.)

Подумайте - а надо оно Вам? Люди конечно держат дома сервера. Кто знает, что им от них надо.

Скорее всего, это соседние абоненты. Я тоже вижу "серый" трафик на внешнем интерфейсе от провайдера. Но мне он неинтересен, я его сразу блокирую.

А задача какова? У Вас тут смешались в кучу кони, люди...

Хороша была трава...

Какой лог? Где? У провайдера на серверах? Кто Вас туда пустит?

А еще есть СОРМ, который в онлайне шлет "лог" в одну известную контору... И там его "подчистить" невозможно даже теоретически :)

если такой адрес может начинаться с 77.ххх.ххх.ххх (так же, как и белый)

Не может
Диапазон серых адресов известен очень хорошо:

#       10.0.0.0        -   10.255.255.255
#       172.16.0.0      -   172.31.255.255
#       192.168.0.0     -   192.168.255.255

Все.

Все остальные адреса - белые. То, что при этом что-то недоступно - это фокусы ростелекома.

Microtic вланы и IPSec далеко не все потянут.

Потянут все, но не на всех будет достаточно мощности чтобы тянуть трафик более одного клиента.

2) Какое оборудование поставить в ядро сети?

RB1100AHx2 или более новая модель с аппаратным шифрованием

3) Стоит ли рассматривать покупку БУ оборудования Cisco?

Если работали раньше, если фанат комстроки, если хотите освоить методом "полного погружения" - конечно. БУ циску можно выхватить достаточно дешево.

А почему они не должны быть видны? ARP шлется широковещательно - именно в этом его смысл :) В качестве контрольного вопроса предлагаю ответить на вопросы "на каком уровне модели OSI находится протокол ARP", "на каком уровне модели OSI находится протокол TCP". А потом подумать.

Если есть много-(много) денег - легко. Пишете основным производителям браузеров - вот, я Иван Петров, хочу быть корневым УЦ. Давайте мне ваши требования, деньги на все есть :)
Вам дают требования, Вы их выполняете.
ПРОФИТ!

ЗЫ: Надеюсь, Вы уже поняли, что это был просто стеб. Для обычного человека и даже для обычной организации нереально попасть в списки доверенных УЦ в браузерах. От слова совсем.

1. Видит только первоначальный запрос, который еще идет незашифрованным
2. Нет.

Но сам факт использования тора - он запросто уже наводит на размышления, что есть что скрывать :)

Нет.

Проводятся учения на предмет "Интернет в условиях ядерной войны". Или, если желаете "Интернет в России в условиях глобального белого списка" :)

Блокировки сайтов есть - но их обходят. Телегу вроде запретили - но она где-то работает. Какой следующий уровень контроля? Правильно - белый список. Не китайская модель, а северокорейская :)

Олиферов в зубы - и зубрить, зубрить, зубрить!

JFYI: Софт для сбора пакета с комстроки есть. Но Вы в нем ничего не поймете.

Может пора как на пикабу - значок длиннопоста ввести?

Сведение всего плана модернизации к единовременным разумным тратам на оборудование за счет перехода на свободное ПО.

Идея несомненно хорошая. Но... денег-то сколько? Бюджет вполне может быть "резиновый". А может быть и нет.

Ну и очень сильное желание всё сделать по феншую.

Есть требования бизнеса. Есть то, что сверх этих требований - красивости всевозможные. Их лучше закладывать сразу - потом просто не подпишут :)

1. Сеть

На каждый этаж по управляемому коммутатору с аплинком по оптике. Между этажами проложить оптику. Число портов должно на треть превышать максимальное число устройств, которое Вы можете вообразить на этаже.

WiFi будет для пользовательских мобильных устройств через резервный канал,

Что за ерунда, простите? Какрй резервный канал через wifi? Два провайдера в передний микротик решают. wifi делается только с контролем маков, с приличных размеров WPA2 ключом и то - если очень нужен. А лучше вообще без него. Слить документы можно тупо фотая их и сливая фотки в гуглодрайв.
Брать разумеется микротик.
Не, если фанат комстроки - можно бу циску. На наге (nag.ru) можно выкупить относительно недорогие бу циски.

2. Сервер

Поскольку я вижу тут одни линуха, то лучше использовать KVM (qemu + libvirt), если конечно одолеете или же Proxmox. Хотя если сервер единственный - можно VmWare - на один сервер она бесплатная, а в 6.7 вроде как HTML-клиента таки допилили.
Правда сразу возникает вопрос - чем, как и куда будете бэкапить? Вопрос отнюдь не праздный :)

3. Хранение данных

Нет понятия "RAID-массив в стойку". В стойку можно поставить устройство - Synology, QNAP или что-нибудь более дорогое и специализированное. RAID-массив - понятие программное.
RAID10 на SSD? У Вас так все хорошо с бюджетом? Тогда я бы рассмотрел покупку лицензий на VmWare для того, чтобы между хостами работала LiveMigration и покупку софта для бэкапа типа Nakivo вместо SSD для RAID10.
Во-первых, RAID не делают на SSD - дорого. RAID10 на SSD - это очень дорого. Для хранения всей этой байды, что Вы предполагаете там деражть достаточно RAID6 хранилище на обычных дисках (плюс один хотспарник). Причем тут достаточно будет полки типа Synology, шарящей доступ в сеть. Кстати, под бэкапы лучше иметь другую полку - держать бэкапы там же где и документы - это...неумно :)

Ничто не защищает данные лучше, чем записать их на диск и физически отключить его

Ничто не защищает данные лучше чем автоматический бэкап. Вы раз сделаете такой финт ушами, два...а потом забудете. А когда в бэкапе возникнет необходимость - он окажется трехмесячной давности :D

Что нужно из оборудования для сохранения всех внешних номеррв, да ещё и наладить внутреннюю IP-телефонию?

Астериск, конечно же. И железка для него. Не виртуалка. Bare-metal. Потому что для приема внешних линий по меди, если таковые есть (обычные городские телефоны) - понадобятся карты FXO. Для установки в офисе обычных телефонов (не IP) - понадобятся карты FXS. Для IP-телефонов не надо ничего :) Если офис крупный и много входящих номеров - можно взять у поставщика телефонии поток PRI (E1) - 15 или 30 ОЦК - это нужна будет отдельная карта потока. Все это легко собирается в линухе.

1. Стоить ли заморачиваться с программными рейдами на виртуалках, если их образы будут храниться на внешнем рейде?

Нет. Это будет лишняя работа для аппаратного контроллера дисков - и все.

2. На какой серверов лучше установить почтовый сервер? Запустить ещё одну виртуалку?

Конечно. А можно даже и не одну - например, как будет работать антиспам?

причем уверен что настройки можно будет экспортировать на рабочее оборудование

На циску - может быть. Хотите морочиться по циске - морочьтесь. Не хотите - стройте ручками.

5. Что мог упустить из виду в этом наброске плана?

VLAN-ы
Привязка маков к портам коммутатора
Прокси
Контроль доступа в тырнет

это хаб, в котором внутри размещен wifi роутер с поддержкой LAN и 4g.

О Боже, до чего только школие не доходит...

Где Вы, пардон, собрались найти хаб? В 2019 году? Вы хотя бы примерно знаете, что это такое и зачем оно? Да, в него теоретически можно было вставить современный 4G wifi роутер - хабы были здорооовые :)

Провайдера и спросите. Ну или сначала убедитесь, что в расстрельных списках РКН он не значится

Стучит, видимо. Что смотрели, когда, как долго, по каким каналам. Если у него есть разьем для флэшки - запросто список файлов может отправлять. Почему не стучит второй - возможно кем-то когда-то выключено было через инженерное меню.

О Боже, что только люди не придумают.
Эта "штука" придумана для того, чтобы красиво сделать то, что называется "распарка" - когда по одному UTP пускают трафик от двух компов - с ограничением до 100Мб понятное дело. То есть UTP использует две пары, в кабеле их четыре. Если воткнуть в свитч два хвоста, вторыми концами в эту хрень, потом соединить одним проводом с другой такой же хренью - то на выходе можно подцепить два компа.

наиболее простой и наиболее безопасный способ - это VPS в европах и VPN до него. Блокировку провайдер может делать самыми разнообразными способами - от банальной подмены DNS (как делает мой провайдер) до бампинга всего на свете и подмены пакетов идущих в "неверном" направлении.
Чтобы во всем этом не разбираться и берется VPS, ставится VPN - и вуаля. За частные VPN за жабры пока не берут. Пока. (Ну я про Россию говорю, как в других странах не знаю)

Меня сейчас скорее всего освистают за глупый вопрос

Да ну почему же, мы же тут не звери какие...(пряча когти и оглаживая шерсть...) Просто отправят Олиферов читать :)

Кусачки :) которые перекусывают провод от провайдера. Если Вы не умеете его обжимать (и соответственно у Вас дома нет обжимки, коннекторов, колпачков) - достаточно надежный способ :)
Еще вариант - войти на роутер, настроить правило "запретить все", удалить все админские учетки, кроме текущей, поменять у ней пароль и забыть его.