Роутер на Windows, нужно ли сетевое экранирование внутренней сети?
Как надо:
отдельный маршрутизатор на границе, серверы и все компоненты, работающие с внешним миром напрямую - в отдельную зону DMZ, между DMZ и внутренней сетью - statefull fw. На windows-сервере ISA-прокси для внутренних пользователей, прямая маршрутизация между офисными ПК, DMZ и внешним миром запрещена. Все это хозяйство желательно резервировать.
Как можно ака бюджетный колхоз-вариант:
Один линукс сервер, он же stateless fw, желательно на нем прокси, nat менее желателен. Windows-сервер выкинуть вообще. Серверы отделите вланом от пользователей. Прямая маршрутизация между всеми компонентами разрешена, доступы режутся iptables.
Как будет.
Местный админ пойдёт к руководству и скажет, что я не умею управлять всем этим, чтобы управлять этим хозяйством надо ещё двух человек. он же поможет руководству составить ТЗ и методику приемосдаточных испытаний (если он вообще знает, что это такое). Руководство проникнется и выставит вам требования под его дудку.
1. Никогда не понимал людей раздающих интернет и осуществляющих маршрутизацию на Windows Server. Даже Kerio на винде вызывал жуткую изжогу.
2. В идеале, внутренняя сеть должна быть разделена на vlan, сервера должны жить отдельно, офисные компьютеры отдельно (иногда и офис разносится по отделам в разные подсети), wifi гости тоже отдельно и все это сдобрить хорошей порцией acl. А на серверах жесткое разделение и контроль доступа.