我有一台强大的服务器（双 Xenon 和 16GB RAM，带 RAID5），我将其用作专用互联网连接上办公网络的域控制器和文件服务器。
我还有一个带有 wifi 接入的访客网络和一些公共工作站，供访客使用，并配有专用的互联网连接。
来宾计算机不是集中管理的，但我想改变这一点，并设置具有自己的域的来宾网络，但仍将其与办公网络完全隔离。
我计划使用来宾网络的服务器通过 GPO 锁定工作站、将新图像部署到工作站以及管理来宾工作站上的深度冻结。
我考虑了两个选择：
1) 在具有 RAID 镜像的台式工作站 (Dell Optiplex 330) 上设置 Server 2008，并将其置于来宾网络上。虽然这很简单、直接，并确保两个网络保持独立，但我有点犹豫是否要这样做，因为这不是一个非常可靠的解决方案，因为可能会出现硬件故障（但如果出现故障，我有一台备用的 Optiplex 330，可以用作备件或恢复备份）。
2) 在办公室服务器中安装新的物理英特尔 10/100/1000 NIC，并在办公室网络交换机上设置一个单独的 VLAN，将 NIC 连接到来宾网络。然后，使用 Server 2008 设置 Hyper-V 虚拟机来管理来宾网络。虽然这个解决方案很强大，但我对此犹豫不决，因为这个解决方案使用了办公室网络交换机的资源，并且出于安全考虑，无法让来宾网络访问服务器上的办公室资源。
您可能会考虑哪种方法，或者您对其中一种（或其他）解决方案还有其他建议吗？
答案1
我有一台强大的服务器（双 Xenon 和 16GB RAM，带 RAID5）
;) 真的吗？这在今天几乎算不上中等水平。
我会使用虚拟机，但如果您的交换机可以正确转换 VLAN，则不需要第二张网卡 - 只需将客户网络放在另一个 VLAN 上，然后在主服务器端口上标记运行，在客户端口上不标记运行。使用交换机 QOS 限制客户带宽 - 完成。每个非平凡的交换机都可以做到这一点 - 就像我办公室的低端 netgear ProSafe 交换机一样。
对于所有云提供商来说，这已经是足够好的隔离了，因此对您来说也将是足够好的隔离；)
我对此犹豫不决，因为该解决方案使用了办公网络交换机的资源，并且存在如何使服务器上的办公资源无法从访客网络访问的安全问题。
好吧，资源限制可以在交换机上管理，但除此之外 - 真的吗？目前还没有已知的 VM 突破 VM 盒的案例，这是非常安全的。除非您手动创建一个漏洞（路由，而不是在 Hyper-V 端正确分离它们），否则您基本上拥有一台单独的机器。Azure、Amazon Ec2 和大量云提供商运行虚拟机管理程序而无需人员突破 ;)
答案2
我支持第二种解决方案，因为它是隔离网络域的“标准”方法。但您必须设置并测试一个可以有效限制访客网络资源使用的环境。
至于 VLAN 内的带宽使用情况，这完全取决于您的交换机，它是否支持每个端口或基于 VLAN 的速率限制。至于虚拟机，您必须只为其分配一个核心（如果您的每个 Dual Xeon 至少是双核的，否则可能会出现问题）并将其内存消耗限制为（假设）仅 3-4GB。根据我（不是最近）使用虚拟机的经验，我注意到它们的内存消耗随着时间的推移而缓慢增加：因此您可能还设置了一个程序来不时关闭和重新启动虚拟机（假设每个周末）。
您对安全性的怀疑是没有根据的。访客无法看到其 VLAN 之外的任何内容，也不应能够突破虚拟机到达主机。