Можно полностью сохранить существующую топологию.

С один изменением:
VipNet шлюзы смотрят одним интерфейсом в локальную сеть, другим - в отдельный интерфейс DFL. И весь трафик между локальными сетями пустить через VipNet шлюзы.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

я правильно понял, что 2-ой интерфейс VipNet и отдельный интерфейс DFL должны быть в другой подсети? и что-то я не могу найти как на DFL отдельному интерфейсу задать сетевые настройки - можете подсказать как это сделать?

да

делаете отдельный VLAN (это подсеть для связи DFL и VipNet) и выделяете в настройках свитча LAN порт для нее

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

А почему не попробовать через PBR, указав rdp и удаленку как условие. А отдельную таблицу для этого правила использовать с маршрутом 192.168.11.0/24 gw 192.168.3.44 metric 10
И наблюдать сниффером, кто и куда ходит.

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

[oftop приветствую ]
Dima G. Приветствую ! так сказать с возвращением ??!!??
[/oftop]

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку