تفکیک شبکه اصلی به چند زیرشبکه

سلام:
ما تو شرکتمان 50 تا کلاینت و دو تا سرور داریم. 20 تا از کلاینتها مربوط به بخش حسابداری هستند که بخاطر اینکه امنیت بالاتری داشته باشند IP آنها را بصورت استاتیک خارج از رنج IPاصلی شبکه تعیین کردیم تا کلاینتهای دیگر نتوانند آنها را ببینند و همچنین این 20 تا به فایل سرور ما دسترسی نداشته باشند. ولی خوب اگر کسی IP یکی از این سیستم ها را به آن رنج IP کل شبکه تغییر بده عملاً وارد سیستمهای حسابداری میشه. مشکل دیگر هم اینه که دسترسی آنها به فایل سرور ما قطع است.
راه حل پیشنهادی شما چی است؟ درست کردن VLAN راه درستی هست ؟
اگر بخواهیم کل شبکه را به دو تا VLAN تقسیم کنیم حداقل امکانات سخت افزاری چی هستش؟ ما یک سویچ 3com مدل 4400 داریم. همین سویچ جواب کار ما را میده؟
اگر این کار انجام شد میشه برای بعضی سیستمهای حسابداری تعیین کرد که به آن یکی Vlan دسترسی داشته باشند یا از اینترنت شیر شده استفاده کنند؟
لطفاً اگر مقاله جامع و کاربردی برای برقراری Vlan میشناسید لینک بدهید.
ممنون.

Yes Use Vlan
u need a managed switch

اگر مقله و مطلبی بود منم خیلی مشتاقم که در موردش بدونم

فقط با vlan نمی شه . در عین حال access-list هم می خواهد. صرفا این راهش نیست .ولی این از همه بهتره. می شود از یک Firewall هم استفاده کنی و range ip ها رو عوض کنی . اینجوری gateway همه می شود firewall اونجوری دیگه حتما یک سوئیچ Layer 3 نمی خوای ، ولی خوب راه اول خیلی راحت تره

رو لینوکس یه DMZ راه بندازید

با 4 تا دستور ساده Iptables سیستم ران میشه

ممنون از توضیحات ولی منظورتان از access-list دقیقاْ چی هست؟ منظور همان قابلیت software سویچ ۴۴۰۰ 3com است؟
دوم اینکه می*دانم با iptables میشه اینکار را کرد در واقع الان هم همینطور است ولی مسئله اینه که اگر طرف ip سیستمش را عوض کنه میآد تو شبکه اصلی.

به نظر من از dns استفاده کن
اون دسته از کلاینتها که باید جدا شن و ببر رویه dns و مابقی رو مثل قبل انجام بده
اونوقت یه پریویت و یک شبکه پابلیک داری که کاملا از هم جدا هستن
یوزرهای که می خوان بیان رویه dns باید مجوز دسترسی بگیرند که شما مجوز نمیدی :)
اگه مشکلی بود mail بزن کمکت می کنم :)

رو کلاینتا دسترسی به تنظیماته TCP/IP رو ببند که نتونن تغییری بدن .هزینه ای هم نمیخواد دیگه