V principu ano. Na vstupu z/do internetu by měl být páteřní prvek (NAT, routing, FW, QUEUE - pro rozdělení rychlostí), v tvém případě CCR plně vyhoví. Firmy pak dostanou každá svůj fous, je jedno, zda fyzické rozhranní nebo vlanu, to záleží na topologii (pokud jde drát společně do dvou firem, tak vlan). Zvolil bych pak spíš rozsahy z pollu 10.xx.yy.zz než 192.168. Ale na funkci to vliv nemá. Každé firmě dáš vlastní veřejnou pomocí dst-nat, jak píšeš, nastavíš jim maximální kapacitu linky pomocí single queue. Pokud mají poštu uvnitř sítě na serveru, je dobré mít pro její odesílání ještě jinou IP, případně další pro odesílání NDR, ale to už jsme hodně v detailu. Jednotlivé segmetny firem bych od sebe striktně oddělil. Mailovou komunikaci mezi firmami bych normálně tlačil venkem přes jejich veřejné, určitě bych nehledal cestu, jak to routovat vnitřkem. Bylo by to složité, nebezpečné a výhoda z toho skoro žádná.
Pak je zvykem oddělovat provozy do různých IP sezmentů, např. dílna, veřejná wifi v zasedačce apod by neměli být na stejným IP segmentu a stejný vlaně jako účtárna a personální.
To zda zvolit variantu 1 nebo 2 je spíš na tom, jaký je vztah firem navzájem a jaký tvůj k nim. Pakticky i pro model 1 může být pro každou další firmu ještě jeden jejich FW na vstupu nich. Třeba nějakou autorizaci pro přístup zaměstnanců na internet a logování provozu asi jinak než přímo v dané firmě a ve vazbě na jejich AD nebo jiný IDM stejně nevyřešíš. Asi bych to na vstupu úplně nebrigoval, pak nebude nad vstupním prvkem kontrola nad konekšnama a trafikem - což u stroje na rozhranní veřejného a neveřejného internetu není úplně to pravé ořechové jak z pohledu bezpečnosti, tak z pohledu performance.
Další moje zkušenost je taková, že větší omezení než technické bývá bezpečnostně-organizačně-politické a s tím ti už ani nikdo neporadí, pokud nemá k firmám vztah a nepracuje na místě, protože se to organizace od organizace může diametrálně lišit. Takže s nima hodně mluv, než to zrealizuješ, aby pak nenastalo nějaké oboustranné rozčarování, že to není dost bezpečné nebo politicky špatně (např. pokud se firma A nemá ráda s firmou B, asi jim bude dost vadit, že jdou ven přes jednu stejnou veřejnou IP, zvlášť až skončí v blacklistu )
Právě potenciální problém vidím v nedostatku veřejných IP.
