# Name Address
1 wan1_ip 10.158.21.30
2 wan1net 10.158.21.0/24
3 wan1_gw 10.158.21.31
4 wan1_dns 10.0.0.0
5 wan1_dns 20.0.0.0
6 lan_ip 192.168.2.1
7 lannet 192.168.2.0/24
8 dmz_ip 172.17.100.254
9 dmznet 172.17.100.0/24
10 wan2_ip 192.168.1.2
11 wan2net 192.168.1.0/24
12 wan2_gw 192.168.1.3
13 wans_ip wan1_ip, wan2_ip

lan_to_wans
# Name Action Source interface Source network Destination interface Destination network Service
1 drop_smb-all Drop lan lannet wans all-nets smb-all
2 allow_ping-outbound NAT lan lannet wans all-nets ping-outbound
3 ftp_pass NAT wans all-nets lan lannet ftp-passthrough
4 allow_all_tcp Allow lan lannet wans all-nets all_tcpudp

lan_to_fwB_IPSec
1 allow_Lan_to_fwB_IPSec Allow IPSec-Lan-Group all-nets IPSec-Lan-Group all-nets all_services

4 ping_fw Allow any all-nets any all-nets ping-inbound
5 ping_in Allow any all-nets any all-nets ping-outbound

1 access_to_B Accept IPSec-Lan-Group fwB_IPSec_remote_net

# Name IP address Network Default Gateway Enable DHCP Client
1 wan1 wan1_ip wan1net wan1_gw No
2 wan2 wan2_ip wan2net wan2_gw No
3 dmz dmz_ip dmznet No
4 lan lan_ip lannet No
галки с Automatic Route Creation убраны.

по IPSEC. созданы 2 тоннеля.
Main_IPSec_tunnel : lannet/ fwB_IPSec_remote_net/ fwB_main_remote_gw/PSK
на вкладке Routing гали с Routing убраны.
и
Backup_IPSec_tunnel lannet fwB_IPSec_remote_net fwB_backup_remote_gw PSK
на вкладке Routing гали с Routing убраны.

в Advance Setting стоят галки на :
IKE Send Initial Contact:
IKE Send CRLs:
IPsec Before Rules:

по интерфейсам:
группа IPSec-Lan-Group - Main-IPSec-Tunnel/Backup-IPSec-Tunnel/LAN
группа WANS - WAN1/WAN2

в Routing Tables прописал 2 таблицы:
main:
# Type Interface Network Gateway Local IP address Metric Monitor this route
1 Route Main_IPSec_tunnel fwB_IPSec_remote_net fwB_main_remote_gw wan1_ip 60 Yes
3 Route wan1 wan1net wan1_gw 100 Yes
4 Route wan1 all-nets wan1_gw 100 Yes
5 Route wan2 wan2net wan2_gw 110 No
6 Route wan2 all-nets wan2_gw 110 No
11 Route lan lannet 100 No

и alt - для WAN2:
2 Route Backup_IPSec_tunnel fwB_IPSec_remote_net fwB_backup_remote_gw wan2_ip 60 Yes
3 Route wan1 wan1net 100 No
4 Route wan1 all-nets wan1_gw 100 No
5 Route wan2 wan2net 90 Yes
6 Route wan2 all-nets wan2_gw 90 Yes
7 Route lan lannet

в Routing Rules
# Name Source interface Source network Destination interface Destination network Service
1 IPSec-Lan-1 lan lannet wans all-nets all_services

1) Objects > Address book > RemoteNetworks
Делаете объекты
remote_ip1, remote_ip2 - адреса wan1 и wan2 удаленного DFL
remote_net - lannet удаленного DFL
remote_dfl - lan_ip удаленного DFL

2) Routing > Routing tables > main
Добавляете маршруты
wan1 remote_ip1 wan1_gw 1
wan2 remote_ip2 wan2_gw 2 - тут решили дать метрику 2, а не 1

3) Interfaces > IPsec
Настраиваете туннели ipsec_remote1 и ipsec_remote2, автоматическое создание маршрута отключаете

4) Interfaces > Interface groups
Делаете группу ipsec_remote из ipsec_remote1 и ipsec_remote2

5) Rules > IP rules
Делаете правила
Allow ipsec_remote/remote_net core/lan_ip ping-inbound
Allow ipsec_remote/remote_net lan/lannet all_services
Allow lan/lannet ipsec_remote/remote_net all_services

6) Routing > Routing tables > main
Делаете маршруты на туннели как по FAQ (разные метрики) с применением ICMP мониторинга на remote_dfl
ipsec_remote1 remote_net 90
ipsec_remote2 remote_net 91

7) Routing > Routing tables
Добавляете таблицу маршрутизации alt_wan1 с ordering only, добавляете в нее единственный дефолтный маршрут на wan1 без мониторинга - wan1 all-nets wan1_gw 100
Аналогично для wan2 (alt_wan2)
Добавляете таблицу alt_ipsec_remote1, добавляете в нее единственный маршрут - ipsec_remote1 all-nets 100
Аналогично для ipsec_remote2 (alt_ipsec_remote2)

Routing > Routing rules
Делаете правила
wan1/all-nets any/all-nets, forward main, return alt_wan1
wan2/all-nets any/all-nets, forward main, return alt_wan2
ipsec_remote1/all-nets any/all-nets, forward main, return alt_ipsec_remote1
ipsec_remote2/all-nets any/all-nets, forward main, return alt_ipsec_remote2
Если вам не надо одновременную доступность обоих WAN-ов, то первые два правила можно переписать в виде
wan1/remote_ip1 any/all-nets, forward main, return alt_wan1
wan2/remote_ip2 any/all-nets, forward main, return alt_wan2