CityCat4

В указанных условиях задача не имеет решения :)

Ответ Надсистемы мгновенно разрушил радужные надежды: "Задача не имеет решения" Л. Резник "Магический треугольник"

1. netflow отдает только IP-адреса, что будет совершенно не тем, куда ходят юзера
2. сейчас почти всюду https, так что куда они на самом деле ходят - знают только они

Сделать разумеется, можно все. Вес давно уже придумано. Но работы будет много.

- Всех пересадить на прокси (один или в каждом филиале свой)
- На всех прокси настроить бампинг, то есть подмену сертификатов, mitm и все такое
- На всех прокси собирать и обсчитывать статистику

Все это конечно делается на линухе. Но руки нужны, растущие из плеч (а не из филейной части :) )

Программист уверяет, что проделал большую работу по настройке нового выделенного сервера

Ээээ.... он точно программист? Или по-вашему "программист" - любой, кто работает с компьютерами? Програмисты - они программы пишут :)

error: open of PowerMTA-4.5r11.rpm failed: No such file or directory

Вам перевести или сами справитесь? :) Это - основная причина

Внезапно - root? :)

Лучше всего - валить. Если хотите вчистую застраховаться от общения со следаками, изучения законов, поиска адвокатов etc.

Тема на самом деле много раз пережеванная. Ответственность в первую очередь несет директор. Но директор скажет "Вот и.о. админа". И если Вы на самом деле исполняли обязанности админа, то есть ставили пиратку и этому найдутся свидетели - будете плотно общаться с г-ном Законом. И да, если скажете, что "мне так сказали" - пойдете с директором группой по предварительному сговору :) А ущерб "в особо крупном" насчитают запросто - достаточно пары копий автокада, инвентора, компаса или еще чего такого.
Отскочить от ответственности можно только если прав админа нет даже на своем компе - что как правило делает установку технически невозможной. Если же они есть - то сразу начинается знал-не знал, есть свитедели-нет свидетелей...

Его мог сменить вирус. Оставлять микротики без пароля - все равно что девушке идти ночью в короткой юбке и рассчитывать, что никто не ... остановит :D

если такой адрес может начинаться с 77.ххх.ххх.ххх (так же, как и белый)

Не может
Диапазон серых адресов известен очень хорошо:

#       10.0.0.0        -   10.255.255.255
#       172.16.0.0      -   172.31.255.255
#       192.168.0.0     -   192.168.255.255

Все.

Все остальные адреса - белые. То, что при этом что-то недоступно - это фокусы ростелекома.

Если винда - то она так не умеет.

Может пора как на пикабу - значок длиннопоста ввести?

Сведение всего плана модернизации к единовременным разумным тратам на оборудование за счет перехода на свободное ПО.

Идея несомненно хорошая. Но... денег-то сколько? Бюджет вполне может быть "резиновый". А может быть и нет.

Ну и очень сильное желание всё сделать по феншую.

Есть требования бизнеса. Есть то, что сверх этих требований - красивости всевозможные. Их лучше закладывать сразу - потом просто не подпишут :)

1. Сеть

На каждый этаж по управляемому коммутатору с аплинком по оптике. Между этажами проложить оптику. Число портов должно на треть превышать максимальное число устройств, которое Вы можете вообразить на этаже.

WiFi будет для пользовательских мобильных устройств через резервный канал,

Что за ерунда, простите? Какрй резервный канал через wifi? Два провайдера в передний микротик решают. wifi делается только с контролем маков, с приличных размеров WPA2 ключом и то - если очень нужен. А лучше вообще без него. Слить документы можно тупо фотая их и сливая фотки в гуглодрайв.
Брать разумеется микротик.
Не, если фанат комстроки - можно бу циску. На наге (nag.ru) можно выкупить относительно недорогие бу циски.

2. Сервер

Поскольку я вижу тут одни линуха, то лучше использовать KVM (qemu + libvirt), если конечно одолеете или же Proxmox. Хотя если сервер единственный - можно VmWare - на один сервер она бесплатная, а в 6.7 вроде как HTML-клиента таки допилили.
Правда сразу возникает вопрос - чем, как и куда будете бэкапить? Вопрос отнюдь не праздный :)

3. Хранение данных

Нет понятия "RAID-массив в стойку". В стойку можно поставить устройство - Synology, QNAP или что-нибудь более дорогое и специализированное. RAID-массив - понятие программное.
RAID10 на SSD? У Вас так все хорошо с бюджетом? Тогда я бы рассмотрел покупку лицензий на VmWare для того, чтобы между хостами работала LiveMigration и покупку софта для бэкапа типа Nakivo вместо SSD для RAID10.
Во-первых, RAID не делают на SSD - дорого. RAID10 на SSD - это очень дорого. Для хранения всей этой байды, что Вы предполагаете там деражть достаточно RAID6 хранилище на обычных дисках (плюс один хотспарник). Причем тут достаточно будет полки типа Synology, шарящей доступ в сеть. Кстати, под бэкапы лучше иметь другую полку - держать бэкапы там же где и документы - это...неумно :)

Ничто не защищает данные лучше, чем записать их на диск и физически отключить его

Ничто не защищает данные лучше чем автоматический бэкап. Вы раз сделаете такой финт ушами, два...а потом забудете. А когда в бэкапе возникнет необходимость - он окажется трехмесячной давности :D

Что нужно из оборудования для сохранения всех внешних номеррв, да ещё и наладить внутреннюю IP-телефонию?

Астериск, конечно же. И железка для него. Не виртуалка. Bare-metal. Потому что для приема внешних линий по меди, если таковые есть (обычные городские телефоны) - понадобятся карты FXO. Для установки в офисе обычных телефонов (не IP) - понадобятся карты FXS. Для IP-телефонов не надо ничего :) Если офис крупный и много входящих номеров - можно взять у поставщика телефонии поток PRI (E1) - 15 или 30 ОЦК - это нужна будет отдельная карта потока. Все это легко собирается в линухе.

1. Стоить ли заморачиваться с программными рейдами на виртуалках, если их образы будут храниться на внешнем рейде?

Нет. Это будет лишняя работа для аппаратного контроллера дисков - и все.

2. На какой серверов лучше установить почтовый сервер? Запустить ещё одну виртуалку?

Конечно. А можно даже и не одну - например, как будет работать антиспам?

причем уверен что настройки можно будет экспортировать на рабочее оборудование

На циску - может быть. Хотите морочиться по циске - морочьтесь. Не хотите - стройте ручками.

5. Что мог упустить из виду в этом наброске плана?

VLAN-ы
Привязка маков к портам коммутатора
Прокси
Контроль доступа в тырнет

А причем тут пардон, сертификат, когда у сайта проблемы с кодировками? Ну или у Вас в браузере.

О! Так это же Kickidler! Это же их основная фишка - писать все в видеоряд. Не знаю, насколько они хороши, потому что мы используем их "идейного прародителя" - Стахановец.
Михаил Лялин - ничего подобного. При приеме на работу юзер инструктируется о том, что используются технические средства контроля, но все, честно говоря - кладут на этот инструктаж :) пока не сталкиваются с его "боевым применением" однажды. Не все правда. Те, кто работу работает - про него быстро забывают :) А вот "умнечеги" обнаруживают, что "вроде ничего нет на компе, но все-таки... что-то есть" :)

Если есть физический доступ к железке или доступ к среде управления виртуалками для ВМ - что винда, что линух ломаются аще на раз. Исключение - шифрованные носители, которые без ключа выглядят как диск, забитый мусором.
Но вообще смысл вопроса непонятен - на линухе работает линуховый софт, на винде - виндовый, кроссплатформенного софта мало, в вайне работает пипец как мало, а в винде на виртуальном линухе запустится и того меньше.
Ось - это все-таки основа для работы прикладного ПО :)

Проблема не только может быть - проблема в нем и есть. Если есть ценные данные - срочно бэкапить.
Потом:
1. Снять smart и проанализировать его. Если smart показывает что к диску крадется пушной зверек - заложить в бюджет денег на покупку нового.
2. (если smart ничего) Диск на проверку викторией или MHDD - иногда с их помощью можно битые сектора реаллокатить или почистить и вроде работа восстанавливается. Но для ответственных данных я бы его уже не использовал.

Ничего.

Сервер нужно щупать руками. Как девочку. Пока не пощупаешь - не поймешь. Там есть множество нюансов, которые можно протестить только имея соответствующую железку - Dell, HP...

Если Вы не получаете денег за администрирование - лучше нанять админа. Потому что сядут, свесят ноги и еще игогокать будут с криками "Хык, мой ишачок!" :)

1. Анализ лога входов-выходов с контроллера домена и отображение результатов (скорее всего писать самому, долго, но бесплатно)
2. СМП (быстро, но за деньги)

Redmine. В нем есть все, в том числе и вики.

Есть openssl, все PKI строится вокруг него. Я все пытаюсь найти какой-нибудь гуй для управления CA под линухом, но все безуспешно, поэтому сам кучку скриптов написал и ими пользуюсь :)