Network ArchitectureArchitecture Proposal
A proposed architecture with separated network environments, possible service integrations, and controlled storage access.
Separate networks and cloud identities. Only specific service and storage access paths are proposed.
Proposed architecture · Separate networks and cloud identities · Controlled storage access
Proposed architecture. Implementation details remain subject to validation. Solid target boundary; dashed independent network boundary. Visual containment does not mean merged networks. Madrid belongs to the existing environment. Component details on pages 2–3; complete Dutch documentation on pages 4–5. The final architecture choice remains open.
Complete technical information · Proposed architecture · Final design choices remain open
TARGET ARCHITECTURE
The target network architecture provides the foundation for the new infrastructure and security standards.
Proposed architecture. Implementation details remain subject to validation.
INDEPENDENT NETWORK
Continues to operate independently with its own network and cloud identity.
Proposed architecture. Implementation details remain subject to validation.
Dedicated storage segment
Dedicated storage segmentation. Access controls and VPN security are separate safeguards.
Proposed architecture. Implementation details remain subject to validation.
Existing cloud identity
Current identity and collaboration services remain independent. Tenants are not merged.
Proposed architecture. Implementation details remain subject to validation.
New cloud environment · Separate identity · Cloud services
A separate cloud identity and collaboration environment for the future network.
Proposed architecture. Implementation details remain subject to validation.
Possible connections · Email · SharePoint · Cybersecurity
Possible email, SharePoint and cybersecurity service integrations. No shared identity or unrestricted network connection is implied.
Proposed architecture. Implementation details remain subject to validation.
Complete technical information · Proposed architecture · Final design choices remain open
Current users & devices
Existing systems reach storage only through the intended controlled access path.
Proposed architecture. Implementation details remain subject to validation.
Storage access only
Controls restrict the intended storage paths. They do not join the two networks.
Proposed architecture. Implementation details remain subject to validation.
Controlled remote access
A controlled VPN access boundary for Madrid and remote users, separate from storage VLAN segmentation.
Proposed architecture. Implementation details remain subject to validation.
Independent NAS authentication
Dedicated storage with independent file server authentication and controlled access. Not publicly accessible.
Proposed architecture. Implementation details remain subject to validation.
Existing Site-to-Site / VPN
Office belonging to the existing environment with an already existing site-to-site / VPN connection. Proposed storage access remains subject to final design.
Proposed architecture. Implementation details remain subject to validation.
VPN / RDP
External users reach storage through controlled VPN / RDP access, not a public file server.
Proposed architecture. Implementation details remain subject to validation.
Nederlandse architectuurdocumentatie · Beide opties zijn in onderzoek; er is nog geen definitieve keuze gemaakt.
Overzicht
De architectuur voor de scheiding tussen het bestaande netwerk en het toekomstige netwerk is uitgewerkt, met specifieke aandacht voor veilige en praktische toegang tot de fileserver en opslag.
Er zijn twee mogelijke richtingen: het behouden van de huidige Entra-omgeving met gerichte koppelingen naar de nieuwe omgeving, of een volledige integratie van de bestaande systemen in de nieuwe netwerkomgeving.
De definitieve keuze bepaalt mede hoe de netwerktoegang, fileserver, authenticatie en aanvullende beveiligingsmaatregelen worden ingericht.
Highlights
Netwerkscheiding
De bestaande omgeving blijft duidelijk gescheiden van de toekomstige netwerkomgeving. De topology maakt deze scheiding zichtbaar door middel van afzonderlijke netwerkgrenzen en een duidelijke visuele indeling.
Een eventuele visuele opname van de bestaande omgeving binnen de bredere architectuur betekent niet dat beide netwerken zijn samengevoegd.
De uiteindelijke verbindingen en toegangsrechten moeten de gekozen architectuur ondersteunen.
Toegang tot de fileserver
De site-to-site / VPN-verbinding met het kantoor in Madrid bestaat al. De voorgestelde opslagtoegang en fileserver-authenticatie volgen het definitieve ontwerp.
De toegang tot de fileserver en bijbehorende opslag moet beschikbaar zijn voor:
De definitieve inrichting moet rekening houden met veilige netwerktoegang, toegangsrechten en de gekozen authenticatiemethode.
Nederlandse architectuurdocumentatie · Beide opties zijn in onderzoek; er is nog geen definitieve keuze gemaakt.
Optie 1 · Bestaande omgeving behouden
De huidige systemen zijn gekoppeld aan de bestaande Entra ID- en Microsoft 365-omgeving en kunnen in principe binnen deze omgeving blijven functioneren.
Bij deze optie blijven de bestaande identiteit en de huidige omgeving behouden. Aanvullende koppelingen met de nieuwe omgeving kunnen nodig zijn voor e-mail en SharePoint.
Daarnaast moeten de vereiste cybersecuritymaatregelen worden ingericht volgens de geldende standaard van de nieuwe omgeving.
Belangrijk: de exacte integraties en de uiteindelijke toegangsconfiguratie moeten nog worden afgestemd op het definitieve ontwerp.
Optie 2 · Volledige integratie
Als alternatief kunnen de bestaande systemen volledig worden geïntegreerd in de nieuwe netwerkomgeving.
Bij deze optie kan worden onderzocht of de fileserver en relevante bestaande systemen via een afzonderlijk VLAN met elkaar moeten communiceren.
De precieze VLAN-indeling, netwerktoegang en beveiligingsmaatregelen moeten worden bepaald op basis van het definitieve ontwerp.
Fileserver-authenticatie
Een mogelijke inrichting is dat gebruikers rechtstreeks op de fileserver authenticeren.
Hierdoor kan de authenticatie op de fileserver onafhankelijk blijven van de nieuwe Entra ID-omgeving, indien dit past binnen de gekozen architectuur en beveiligingseisen.
Deze mogelijkheid moet worden beoordeeld als onderdeel van het definitieve ontwerp.
Intended access paths; exact connectivity, authentication and security configuration remain subject to final design.
| User Group | Target System | Connection Method | Authentication | Security Level |
|---|---|---|---|---|
| Existing Systems | Fileserver (NAS) | Controlled path · VLAN under consideration | Direct NAS authentication under consideration | New Cyber Standard |
| Madrid Office | Fileserver (NAS) | Existing Site-to-Site / VPN | Direct NAS authentication under consideration | Existing VPN connection |
| Remote Users | Fileserver (NAS) | VPN / RDP | Direct NAS authentication under consideration | Security controls subject to final design |
| M365 Services | E-mail & SharePoint | Possible service integration | Entra / M365 | New Cyber Standard |
The diagram illustrates proposed controlled storage paths and possible service integrations. VLAN segmentation and direct NAS authentication are options, not confirmed implementation decisions.
Design considerations
01
Network Isolation
Technically separated environments
02
Continuity
Existing M365 / Entra can be retained under option 1
03
Cybersecurity
Security measures aligned with the new standard, subject to final design
Network separation, continuity and controlled access guide the options under consideration.
The proposed separated architecture keeps the existing and new environments independent. Full integration is an alternative under consideration.
Context and technical considerations
Under the separated option, network boundaries and controlled access limit interaction between the environments.
The final design must define network access and security controls. Specific service connections do not imply unrestricted connectivity.
The existing Microsoft 365 / Entra environment can remain operational under the option that retains the current identity environment.
Context and technical considerations
Retaining the current environment supports continuity; the final implementation approach still needs to be agreed.
Option 1 retains the current Entra ID and Microsoft 365 environment, with possible email and SharePoint connections. Option 2 considers full integration.
Controlled fileserver access for existing systems, Madrid and remote users, with segmentation and authentication subject to final design.
Context and technical considerations
Fileserver access must be practical and secure for existing systems, Madrid and remote users.
A dedicated storage VLAN and direct fileserver authentication are possibilities to assess against the selected architecture and security requirements.
If you have any questions or would like to go over any aspect of the proposed architecture, please get in touch with us.
FortFides B.V. — Boutique IT, Cloud & Cybersecurity. This proposal is valid until expressly withdrawn.