Gansterito

PCAP-дамп снимали? Смотрели что по сети кроме DHCP летает?

Попросите у провайдеров по +1 дополнительному стыковочному IP. Приведите VLANы на отдельный порт DGS-3000-28SC, туда ставьте сервер с пинговалкой. Ну и в зависимости от результата, определяйте куда двигаться.
Лучше поставить на ваш BGP и на "пинговалку" smokeping, там пинговать ресурсы с разных IP:
- со стыковочных адресов каждого провайдера.
- со своего адреса.

Управляемые коммутаторы + DHCP Snooping с Option 82 и лимитирование количества IP и MAC с одного порта.

Нужно брать коммутатор "операторского уровня", т.е. те, что используют ШПД-операторы в качестве коммутаторов доступа. Причин здесь две:
- по всей РФ этих коммутаторов установлено сотни тысяч, по несколько штук на каждом жилом доме, а значит на рынке всегда есть предложение продажи.
- все программные и аппаратные проблемы в них давно найдены и устранены.
Из вендоров - это DLINK, DCN (SNR, QTECH), Edge-Core, например.

время от времени в мультиплексоре(3) пропадает или частично не доходит мультикаст трафик от кодера

Как часто? Чем проверяли?
Все каналы или выборочные?
Есть ли возможность в Cisco включить тестовый комп с VLC и там мониторить каналы?

0. Поставьте полностью управляемое оборудование (коммутаторы).
1. Сегментируйте сеть. По географии (корпус, крыло этаж), по структурным подразделениям (департамент, отдел) - как угодно. Отдельно - сегмент под камеры и СКУД.
2. Поставьте маршрутизатор/фаервол и жестко разграничьте внутренний доступ по функциональным критериям (типа инженерам-проектировщикам не нужен доступ в 1С, а бухгалтеру - в git).
3. Выпускать в public internet через прокси/фаервол с учетом прав доступа.

Порты могли погореть из-за статики. Причины могут быть разные, например, постелили ковролин в офисе, люди начали шаркать ногами, вырабатывая заряд.

Также из-за расности потенциалов на коммутаторе и корпусах компьютеров. Например, раньше была одна шина заземления, а потом ее убрали совсем или разнесли.

Вот на счет электролитов в коммутаторе не уверен, но стоит их проверить.

Два Каталиста (второй под резерв).
Красиво разрулить через VRF-ы пользовательские подсети, принтеры, камеры.

voice vlan - на коммутаторе.
Опредеяет vlan на основе MAC-адреса. Есть в управляемых коммутаторах.

Лучше для этого использовать коммутатор, на котором настроено зеркалирование.

Классиков Вам уже посоветовали, а вот запустить Wireshark на компьютере и своими глазами заглянуть внутрь IP-пакетов еще не успели.
Думаю, это самый удобный способ: далеко ходить не надо (есть "интернет", значит есть обмен данными по сети), виден весь IP-стек, все прокомментировано (кратко, но достаточно для понимания). Рекомендую!

Скорее всего по DHCP получаете адрес от кого-то из "соседей" по сети и через него работаете. А когда пытаетесь поднять PPTP/PPOE/L2TP/или_что_там_у_Вас - BRAS оператора Вас не авторизует.

Лучше первым правилом пропускать пакеты ESTABLISHED и RELATED, а потом уже дропать INVALID.

Такое разделение чревато. Если разделять по портам удаленного сервера, то запрос на 80ый порт может придти с одного IP (через первый канал), а на 443 - с другого (второй канал). Если брать локальные порты - аналогично, с одного локального ПК может быть установлено две TCP-сессии с одним и тем же сервером, но с разных адресов. Что-то может пойти не так, особенно, если cookie на сайте привязываются к IP-адресам.
Альтернативные варианты - разделить "весь интернет" (0.0.0.0/0) на две почти равные части - 0.0.0.0/1 и 128.0.0.0/1, и смаршрутизировать их через разных провайдеров.

Source-адрес будет выбран по умолчанию с того интерфейса, через который идет маршрут до нужного узла.
Если на интерфейсе несколько IP-адресов, то берется тот, что первый (primary).
Если в используемой программе есть возможность указать IP-адрес источника запросов, то с этого адреса и пойдут IP-пакеты.
Утилита чтобы посмотреть трафик - tcpdump (linux, freebsd), wireshark (linux, windows).

Можно предложить три варианта:
1) Сам роутер Zyxel актуализирует список занятых устройств (включенных, например, мимо DHCP);
2) Кто-то за пределами роутера пытается "достучаться" до ваших внутренних адресов;
3) Кто-то изнутри роутера (а там внутри Linux со всем окружением + shell) пытается найти что-либо для своего дальнейшего "проникновения" и "закрепления" на вашей сети.

За последние пару дней слышал о какой-то аномальной активности абонентов с роутерами Zyxel, однако, подтверждения этому не было. На всякий случай отключите роутер от внешней сети, посмотрите на активность. Можно сбросить к заводским настройкам, обновить прошивку до последней и, не подключая к сети, проверить наличие who has запросов. Но это уже на любителя.

Посмотрите tcpdump-ом на стороне Asterisk доходят ли до него SIP-пакеты REGISTER, отвечает ли Asterisk.

Подключите выделенный ноутбук проводом в локальную сеть и запустите wireshark на нем на сколько-нибудь длительный период. Возможно, в сети есть широковещательный флуд, в wireshark вы его сможете увидеть.

При 50ти внутренних клиентах целесообразно сегментировать сеть, как проводную (по этажам, офисам, отделам, etc), так и wifi (гостевой, для личных устройств, для служебного использования).