Warchik2107

1. У Романа Козлова ( телега @Soriel ) был интересный доклад, он предлагал пилить локальную сеть предприятия на много маленьких сегментов и по 3 уровню общаться друг с другом и внешним миром... посмотрите его видение может оно Вам подойдет ...

2. Телефоны например умеют работать с тегированным трафиком, так что можно настроить порт коммутатора так чтоб если туда подключался ПК он находился в одной сети и в тот же порт воткнутый телефон сразу попадал в свою сеть телефонии. Есть конечно и коммутаторы которые видят мак адрес устройства и по маске могут подсунуть в порт с ним нужный влан. В общем и целом технология нужная...

1. VLAN - первое слово виртуальный. Любая виртуализацию это уплотнение использование ресурсов и централизация управления. С точки зрения разделения ресурсов вы можете добиться того же эффекта физическим оборудованием.
2. Два порта mikrotik вы соедините их в мост, тогда у вас не будет разделения домена, или вам их нужно разделять на третьем уровне.
3. На мой субъективный взгляд одна из основных функции vlan принудительное совпадение l3 и l2 доменов. Без этого, например, у вас не будет работать защита от ip спуфинга.
4. Разделение бродкаст домена, в современных сетях, задача достаточно специфическая, на данный момент такой трафик редко создаёт проблему в реальных инсталляциях. Но может очень сильно выстрелить в специфических конфигурациях и искать эту проблему сложно.

vlan - это сегменатация сети на логическом уровне.

Так зачем мне вилан, если я просто могу повесить то второе здание на отдельный порт микротика и выкинуть его в отдельную подсеть вместе со всеми хостами?

- сегментация сети на физичском уровне
зачем нужна и когда применять:
- для безопасности. Разные устройство подвержены разным векторам атаки. Разделив их в разные сети и закрыв трафик между сетями фаерволом вы либо исключите вектор атаки либо снизите его влияние. Пример: Пользак скачал какой-то файл, которые не задетектил антивирь, запустил его, этот файл нашел в сети принтер, воспользовалься его уезвимостью, развернул на нем бэкдор и подключил тунель для атакуещего. Атакующий попал в сеть, и спокойно с принтера продолжает ее иследовать и искать другие уязвимости. Если вы сегментируете сеть рабочих станций и принтеров, закроете доступ в сеть принтеров по всем портам кроме тех, что нужны для работы с ними, а из сети принтеров запретите выход в интернет - это исключит этот вектор атак.
- для балансировки нагрузки, если у вас есть IP телефоны которые работают с внешним IP АТС сервером, вы можете настроить QoS конктретно для сети, что бы обеспечить резерв по пропускной способности внешнего канала, что повысить качество голосового трафика.
- для отказоустойчивости, если в одном из сегментов сети возниктит сетевой инцидент, он не затронет другие сегменты. К примеру, сетевой шторм (когда сделали колько на коммутаторе). Если в сети есть не управляемые коммутаторы, не оснащенные защитой от шторма, это может вызвать проблему по всей сети, пока не сработает защита, если она есть.
- для порядка, делать vlan под разные устройства, и под разные направления дейтельности - все равно, что в шкафу раскладывать по разным полкам одежду, просто удобно с этим работать

Обслуживать vlan проще чем сегментацию на физическом уровне.

Точно такие же настройки сделать не получится - например имена интерфейсов будут отличаться (возможно). Попыхтеть придется.

В консоли старого микрота делается export file=blabla (.rsc добавится автоматом). Файл выгружается на комп. И потом кусками, ни в коем случае не полностью! а кусками - переносится на новый микрот. Переносится внимательно, каждый раз проверяя, что команда была принята.

Нельзя сказать, что тривиальная задача :)

Всё очень просто.
Ваш свитч видит пакеты от всех компьютеров, и относительно общего трафика, проходящего через него, броадкаст-пакетов 0.18%.
Ваш рабочий компьютер видит все броадкаст-пакеты, но только свой уникаст-трафик. Поэтому процент выше.
Компьютер, который сам не лезет в сеть, опят таки видит все броадкаст-пакеты, но почти не обменивается уникаст-пакетами. Отсюда и 30%.
Если вы поставите компьютер, на котором уникаст-трафика не будет то, очевидно, броадкаст-пакеты на нём будут занимать все 100%, даже если это будет один броадкаст-пакет в сутки.

Настраивать VLAN'ы исключительно для снижения броадкаст-трафика занятие глупое. VLAN нужен, когда вам надо логически отделить группу компьютеров в одной физической сети или организовать закрытый канал через несколько свитчей.

Пожалуй сам и отвечу.
Есть два варианта применить двухфакторную аутентификацию при помощи токенов JaCarta или аналогов:
1) Ставим ПО на компьютер, на котором будет использоваться токен, это ПО генерирует длинный пароль и присваивает его учетке в AD, а так же записывает его на токен. В итоге при логине на компьютер берется пароль с токена и передается в AD, если все ок, то вы получаете доступ к рабочему столу. Т.е. по сути механизм аутентификации не меняется, он остается парольным, только вам его не надо помнить.
2) В домене разворачивается центр сертификации, на нужных компьютерах задаем политику входа только по смарт-карте (токену) и генерируем сертификаты для нужных пользователей, записывая их на токен. В итоге на выбранных компьютерах невозможно авторизоваться по логину/паролю, а сделать это можно только по смарт-карте (токену).

172.27.180.200 не знает, что сеть 192.168.0.0/24 находится за 172.27.180.202

Смысла нет. По производительности они одинаковы.
Единственный кейс где вам это может понадобится UEFI - это гостевая Windows 10 и проброс в неё GPU.
В остальных случаях хватит стандартного SeaBIOS.