Какой поставить маршрутизатор в конторе на 60 устройств?

АртемЪ, выбор управляемых или неуправляемых свичей диктуется не географическим разбросом подключенного оборудования, а количеством устройств и их типами. 60 устройств нескольких разных типов -- это уже однозначные показания к закупке управляемых коммутаторов.

А перспектива роста -- в сети такого размера рост в любом случае будет присутствовать, 90% вероятности за это.

Какой поставить маршрутизатор в конторе на 60 устройств?

можно управляемые, можно и нет

Неуправляемые? 60 устройств и перспектива роста? За что вы так с автором? :-)

Какой поставить маршрутизатор в конторе на 60 устройств?

Dj0cker, ну вот заодно и разберётесь с микротиками :-)

Какой поставить маршрутизатор в конторе на 60 устройств?

951й микротик

А потом огрести с ним, когда он начнёт захлёбываться на гигабите. Слабоват 951-ый.

Использование ip диапазона вне разрешенных для локальной сети?

АртемЪ, ЛЮБОЙ пакет, попавший на маршрутизатор, и для DST которого нет прямых маршрутов (статических или динамических) будет отправлен маршрутизатором в дефолт. Собственно, так будет делать не только маршрутизатор, но и любой хост, в котором включен ip_forward. Воспрепятствовать этому поведению можно только с помощью файрвола или PBR.

Но чаще всего, как я уже говорил, фильтрацию трафика не настраивают.

Использование ip диапазона вне разрешенных для локальной сети?

Уничтожит.

С чего вдруг? Пакет пойдёт в default gateway маршрутизатора.

А уничтожен он будет только в случае, если на шлюзе сети компании явным образом прописано соответствие подсетей и интерфейсов. Но в реальности этим мало кто заморачивается. И тем более это не будет делать оператор, т. к. за клиентским шлюзом могут быть и другие клиенты (если это суб-провайдер), поэтому ACL на подсетях настраивать скорее всего не будут. Иными словами -- с высокой долей вероятности пакет, запущенный из локалки, где выдаются адреса 192.200.0.0, пройдёт до DST IP в интернете, а вот ответ от DST IP уже долетит до реального хоста из сети 192.200.0.0, и в локалку, конечно же, не вернётся.

В доменной сети "плавает" IP (без доступа в интернет). Как его поймать и убрать?

Вы совершаете активность, сути которой не понимаете. Вот это:

Dynamic Host Configuration Protocol (Offer)
...
Your (client) IP address: 192.168.(горе IP адрес)

означает, что какой-то DHCP-сервер в сети выдал такой IP-адрес на запрос клиента. И блокировать этот адрес, во-первых, бесполезно, а во-вторых -- глупо, т. к. он является не причиной проблем, а следствием. А причиной является либо левый DHCP-сервер в сети, либо криво настроенный валидный DHCP-сервер. И нужно либо искать левый, либо проверять настройки "правого". Нужно искать не КОМУ выдан IP-адрес, а ОТ КОГО прилетел DHCP offer. Т. е. найти MAC этого DHCP-сервера и потом по ARP-таблице коммутаторов найти физическое устройство, которому принадлежит этот мак.

В доменной сети "плавает" IP (без доступа в интернет). Как его поймать и убрать?

hint000,

И даже на 169 не может начинаться IP (динамический! и пофиг кто его сгенерил - DHCP или хост сам себе), если прописана статика.

Это вы просто малость не в курсе. Адреса APIPA запросто могут прилететь на Windows хост, даже если у него адрес прописан статикой. Вот по этому сценарию: https://www.cisco.com/c/en/us/support/docs/ios-nx-...

Как создать локальную сеть с возможностью контроля и просмотра всего трафика?

CityCat4, мы же не знаем, от каких рисков пытается защититься автор вопроса. ВОзможно, всё, что не касается его сети, его не волнует. Т. е. ходишь через мобильный интернет -- делай, что хочешь. Но если подключился к корпоративному WiFi, то требуется дополнительный контроль.

Как создать локальную сеть с возможностью контроля и просмотра всего трафика?

Ну, Вы не правы :-) В постановке задачи стоит: "В сети". Т. е. устройства подключены к единой сети, вероятнее всего, WiFi. И можно встать на шлюзе и смотреть весь трафик.

Другой вопрос, что, как выше совершенно справедливо заметили, основная часть трафика будет зашифрованной, и уже с этим мало что можно сделать.

Как добавить существующий Датастор ESXi к новому хосту без потери данных?

Виталий, да, всё так.

В целом же по проблеме -- реально стоит попробовать другой сетевой адаптер. И лучше что-нибудь более серверное, типа 2 / 4-х портовый Intel. Всё-таки десктопные карты не особо предназначены для запусков там гипервизоров.

Как добавить существующий Датастор ESXi к новому хосту без потери данных?

Виталий, так если вы их создавали в 6.7, то в бэкапе они уже будут с новой hardware version.

Как добавить существующий Датастор ESXi к новому хосту без потери данных?

Ну, как вариант -- прямым редактированием vmx-конфигов можно попробовать. Но не факт. что виртуалки сохранят работоспособность, или не будет потом артефактов.

Вопрос по разделению VLAN?

Михаил Хорев, я вроде нигде не писал, что сегментация -- это единственная мера :-) Непонятно, зачем вы меня стали убеждать в том, что ИБ -- это комплекс мер.

Вопрос по разделению VLAN?

Александр Рублев, а оптика какая? Гигабит или 10-ка? Если 10-ка, то и проблем как бы нет, LAG можно построить только с того коммутатора, который ближе к роутеру. Ну или на крайний случай -- поставить ещё один микротик на вторую площадку (которая ниже по схеме), и он будет маршрутизировать трафик второй площадки. А по оптике пойдёт только то, что реально требует взаимодействия между площадками.

Вопрос по разделению VLAN?

Михаил Хорев, вы правда думаете, что какой-нибудь WannaCry или Petya будет разбираться, 100 там пользователей в сети или 10000? :-) Сегментация сети с разграничением доступов -- простая и эффективная мера, позволяющая усложнить атаки и распространение заразы по сети.

Вопрос по разделению VLAN?

Соответственно, не стоит выносить терминалы и сервера в отдельный влан от пользователей.

С точки зрения ИБ это очень вредная практика. Сервера и пользователи должны быть в разных вланах в обязательном порядке. И коммуникации должны быть максимально обрезаны между этими вланами. Т. е. только то, что требуется для работы пользователям, и ничего более.

БУ сервер или новый ПК для виртуализации?

Роман,

...единственное: стоят дорого))

И дохнут под серверными задачами быстро. Но если данных не жалко, то можно брать, да :-)

Как убедиться, что соседский Wifi безопасен?

Теоретически да. Практически на таком железе - нет.

Ну это неправда. Как минимум два вектора есть -- настройками DHCP и настройками DNS можно трафик перенапрвлять на анализатор. Это если не считать того, что можно просто трафик смотреть -- WiFi-то без пароля :-)

Как поднять сеть на двух проводах?

220 по коксу кидать -- ничуть не менее опасно. Пробой изоляции центральной жилы -- и может возникнуть пожар.

Что касается "идёт в стене под разными углами" -- если кокс не зажат намертво, а просто трасса сложная, то прикрепите витуху на торчащий конец коаксиала, и вытягивайте его потихоньку. Коаксиал будет вытаскиваться, и будет протаскивать за собой витую пару.