Макс

через бридж - да

то, что провайдеры разные - не страшно. работает керио - заработает и на микротиках.
www.nasa-security.net/mikrotik/l2tp-ipsec-vpn-site...

очередной вАлАсипед. есть специальное ПО для таких задач. Тот-же Стахановец.
следующий классический вопрос - кто будет смотреть это видео.
не менее классический пример - 100 человек за рабочий день нагенерят 800 часов видео.
для просмотра всего этого дела на 10-и кратной скорости необходимо минимум 80 человеко-дней. Кто-то должен контролировать контроллеров. итого на каждые 100 конролируемых сотрудников 12-13 человек, которые будут заниматься откровенной фигней.
контроль рабочего времени - это не ИБ. Запрещайте лишние сайты, дрючьте по результатам еженедельной/ежемесячной статистики. Особо борзых наказывайте рублем. Помогает, говорю на личном опыте.

1. изменить диапазон адресов для DHCP (скажем, сделать с 192.168.0.100 до 192.168.0.254), серверу дать адрес из освободившегося дипазона (к примеру - 192.168.0.2).
2. нет. подеруться =)

разбиение на подсети не запретит пользователю настроить себе адрес из соседней подсети и попасть в нее. VLAN такое не позволит.

да, реально. В этом случае дажи VPN особо не нужен - просто настройте маршрут по-умолчанию через роутер друга.

ну так все логично - это Agregation switch, порты для клиентов гигабитные, аплинк 10G. Аплинками соединяем с коммутатором более высокого уровня - с Core, с каким(и)-нибудь 6ххх-7ххх .

защищенный канал между точками сети - VPN
зазищенный обмен файлами - уже упомянутый gpg плюс почта.
защищенный доступ к ресурсу - SSL.

Да куча их, механизмов защиты. Что конкретнее защищаем?

в обычных условиях загаженного радиоэфира, минимум 1 стенки до точки доступа и прочих радостях провод выигрывает в РАЗЫ.
гигабитная медь сейчас стоит копейки (это, на секундочку, 110 -120 Мбайт/с) по воздуху, если звезды сошлись - ну мегабайт 5-8.

по 1 сетевухе в каждом или они виртуальные и сидят на 1 физической сетевухе?

вероятнее всего косяк в бродкастах. Сделайте маску /23 - все станет одной подсетью.

тяните оптику. или втыкайте посреди коммутатор. альтернатива - WiFi c направленными антенами. Но тогда готовьтесь к никакой скорости.
так что - оптика, благо сейчас недорого все стало.
Да и если потянете не сами, то на фоне цены за работу что оптика, что медь - будет все одно.

посмотрите про Континент. https://youtu.be/8sYTi4WtEuY.
Кроме континента есть еще VipNet - тоже умеет строить защищенные сети. У Циски есть аттестованный в ФСБ/ФСТЭК модуль. В общем - немало решений.
а откуда требование исключительно аттестованного оборудования/решения?

доступ в интернет ограничиваем по компьютерам или по пользователям?
хотя в любом случае я бы посоветовал обратить пристальное внимание на новейшее изобретение - прокси сервер.
теперь отринув сарказм. Прокся - умеет пускать/не пускать в инет как на основании ip компьютера, так и на основании имени пользователя. плюс - всякие плюшки типа статистики использования, антивирусного контроля трафика, блокировки всяких банеров/соцсетей/видео и т.д

лучше позовите контору с опытом/инструментом. Сами оптику все одно не разварите.
а так сделают "под ключ"

Компьютер B берет и присвистывает себе mac-адрес компьютера A, пользуется сетью, и иногда у него сеть барахлит. Значит ли это то что компьютер A в этот момент времени тоже пользуется сетью?

Все зависит от того, что подразумевается под словом "барахлит". Камрад Виталий Пухов верно подметил, что винда ругается на конфликт IP. Однако если у провайдера IP не привязаны к MAC - то оба компа получат по IP, ошибки будут на уровне stp - протокола, который строит маршруты между коммутаторами. Таблица будет постоянно обновляться, и сеть на каждом из компов будет то работать, то не работать. погуглите "mac address collision".

Можно ли отличить фрэйм с Вашим MAC Ваш от чужого - нет. только по тому, что в него "завернуто"

PS не советую заниматься подобными вещами. Формально - 272 УК РФ, от 200 МРОТ до двух лет. Ловится в 5 сек.