zvl

Идея в том, что заходит рядовой пользователь на контроллер домена, эксплуатирует любой свежий баг с подъёмом привелегий - и вы сливаете в унитаз безопасность всего домена, всё предприятие разом, с сотнями или тысячами пользователей, с доступом к файлам пользователей, к рабочим машинам пользователей. Дальше можно делать в сети предприятия что вздумается. Всё зашифровать. Или получить доступ к финансам. Или годами скрытно воровать коммерческую информацию...
Такие вещи эникейщик должен выучивать в первый месяц стажировки на первом рабочем месте (если только там был поднят AD). И именно поэтому работодатели не хотят принимать на работу людей совсем без опыта - слишком велика ответственность, слишком легко одним неверным действием обанкротить всю контору.

Дать IP адрес для DC из из новой дополнительно - в параллель старому.
Сделать ipconfig /registerdns и убедиться, что в DNS появилась новая запись в прямой и обратной зоне.
Перенастроить DHCP на выдачу ip адресов из новой подсети, либо (что более правильно) выдачу из новой подсети и как дополнительный ip - еще и из старой.
Дождаться, когда пройдет срок жизни ip адресов в DHCP и убрать остатки от старой 192.168.1.0/24.
Другой вариант - просто поменять срок жизни DHCP на маленький промежуток времени и просто одной операцией заменить старые адреса на новые везде. Тогда будет простой некоторых компьютеров на этот короткий промежуток.

Но все это - теоретическое описание как должно быть. А на практике оценку должен проводить тот, кто понимает, что происходит в локальной сети и на что эти изменения могут повлиять.

никаких hap ac^2 не хватит. Ставите везде где необходима сеть cAP AC, заводите их на CAPsMAN, с него рулите трафиком и всеми настройками. ядром рекомендую взять TILE устройство (CCR), за ним коммутатор с PoE к которому подключаются все Access Points (сэкономите на розетках, но и всегда будете иметь управление питанием централизовано, т.е. сможете перезагрузить какую надо точку ).
Так как вы делаете для компании и вам это всё потом обслуживать, как я предполагаю, то не экономьте на железе. сэкономленная копейка обернётся вам в сто крат большей головной болью.

«разобрать» большую сеть — это не задача, для которой можно построить этапы.
Пока твоя задача — построить функциональную и логическую схемы сети, которую ты/начальство хочешь получить. А вот потом уже можно будет решать задачу вида “Как на имеющейся физической сети получить то, что функционально и логически уже спроектировано”.

и привести все к нормальному виду через Vlan'ы.

Для начала нужно решить для чего вам нужны Vlan'ы, какие задачи они будут решать.
После этого проектировать сеть - решать что именно и в какие vlan вам нужно запихать.

Простейший микротик как маршрутизатор и 2-3 тупых свича на 5-8 портов(по 1к). На круг выйдет в районе 8к, что равно простенькому свичу L3. На микротике можно рулить этим всем, как VLAN, так и подсетями и мостами между ними(например, прописав маршрут на компе до видеорегистратора, обратного маршрута на регистраторе не будет и попасть с него на комп, или в подсеть с компом, будет нельзя)
Физическая защита по току будет так-же обеспечена копеечными свичами. Злоумышленников, кидающих 220 на витую я не встречал, но молнии жгут порты видеонаблюдения постоянно, наводя на длинную витую, даже с заземлённым экраном.

В свое время остановился не на софтовом решении, а на железном, а именно боксы от Zalman типа ZM-VE300, ZM-VE200 и тд.
Смысл в том, что создается на жестком диске раздел _iso в который склыдваются ISO образы, и данный раздел в bios виден как CD-ROM в который можно путем перебора ISO образов (на боксе либо джойстик, либо цифровая клавиатура для этого), подставлять любой ISO образ из загруженных.

PS: в рамках одного предприятия это правильней решать с помощью WDS / SMS

вы бы петлю убрали

Компьютерные сети (Таненбаум Э.)

Есть хороший цикл статей на habrahabr "Сети для самых маленьких".

а жизни хватит чтобы стать спецом по всему перечисленному?