Оборудование: 2xDi-804HV.
Задача: организовать ВПН между офисом и магазином (стандартная в принципе задача).
Сложность: часть компьютеров магазина в ВПН входить не должно.

Lan1 (192.168.0.1-49)->DI-804HV(192.168.0.50)->Internet->DI-804HV(10.0.0.1-49)->DI-804HV(10.0.0.50).

192...это магазин. Единственное что мне приходит в голову - разбить сеть магазина на 2-е подсети 192.168.0.* и 192.168.1.*, а при создании ВПН в качестве Local Subnet указать 192.168.1.0 с маской 255.255.255.0. Соответственно все у кого IP 192.168.0.* не смогут пользоваться тунелем, но, к сожалению, ни кто им не запретит сменить IP. Как же гарантированно выпускать одну часть сети и не выпускать вторую ???

И ещё, глупый вопрос, но досканально разобраться с DI-804HV я не успел: Как закрыть все порты кроме, скажем: 80 и 3328 на вход.

в последних версиях прошивки, в частности, в 1.40 (см. на ftp) есть возможность задать фильтрацию для доступа к ipsec тоннелю - т.е. части пользователям разрешить пользоваться ipsec, а другим нетю Фильтрация - по МАС адресам. Настраивается в меню Advanced/Filter

_________________
С уважением, Карагезов Владислав