Здравствуйте!
DFL-1660, прошивка 2.60.02.02-24266.
Настроил L2TP/PIsec по мануалу Мой мануал по созданию L2TP сервера на NetDefendOS. Клиенты - компы с Windows7.
Подключение устанавливается замечательно, но после подключения внешний ip DFLя становится недоступен. Соответственно, снаружи теряется доступ к админке и ssh до тех пор, пока клиент не отключится. В логах мелькало "only_routes_set_up_by_server_iface_allowed drop". Внешний адрес только один, хотя на wan1 и опубликован второй адрес для ЛВС, т.к. провайдер подает без VLAN по одному кабелю и интернет и канал до филиала. С внешнего ip прокинуты порты для dns, imap и smtp.
Читал похожую тему. Public IP DFL1660 and IPsec over L2TP
Не уверен, но мне кажется, что nat loopback в моем случае не при чём.
Вычитал в русском мануале вот что:

Насколько я понимаю, создается маршрут вида ipsec all-nets и в него заворачивается весь трафик. Но я не могу сообразить, какой маршрут мне надо прописать, чтобы и l2tp/ipsec-клиенты подключались и доступ к внешнему ip работал. Что, куда и через что?
На скринах правила для l2tp и таблица маршрутизации.

1. Добавить в менеджмент железки интерфейс L2TP (1 разрешение)
2. Настроить выход в Интернет с интерфейса L2TP (1 правило) и NatLoopback с интерфейса L2TP (2 правила)

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...

Не совсем так. Думаю клиенты просто теряют выход в инет после подключения. Чтобы он сохранялся:

Найдите на клиентах в свойствах соединения TCP/IP и отключите галку про основной шлюз.

На клиенте XP:
Свойства соединения - Сеть - TCP/IP - Свойства - Дополнительно - Использовать основной шлюз в удаленной сети

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

YuriAM, Да, клиенты не могут выйти в инет, но это полбеды. Раз не работает внешний ip, то не работает проброс портов для почты и т.д. А у меня один из клиентов l2tp/ipsec должен быть подключен постоянно, т.к. на нем работает специальный сервис снаружи.
Поэтому, сначала последовать совету MTRX, а потом, если все будет рабтать, то и убрать галку про основной шлюз (кстати, я про нее в курсе )?

Думал-думал, но так и не понял...
1. Совсем не понял формулировку "менеджмент железки". По сути, вся админка и есть "менеджмент железки".
2. Выход в интернет с L2TP - тут понятно. У меня уже есть такое правило на скрине и подключившиеся клиенты ходят в инет.
3. NatLoopback с интерфейса L2TP (2 правила) - вот тут совсем не понятно, что и куда. И, самое главное, почему?
Помогите, пожалуйста. Очень на вас надеюсь.

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...

По идее, у меня и так все разрешено.

Создал правила такого вида и таком же порядке:

l2tp-interface l2tp-pool core all-nets all-services SAT wan1_ip
l2tp-interface l2tp-pool core all-nets all-services ALLOW
l2tp-interface l2tp-pool wan1 all-nets NAT

Клиент великолепно подключается и ходит в инет (как и раньше), но с другого компа доступ снаружи до внешнего ip так и не появился (ping, ssh, админка). И не работает всё, что прокидывается наружу (smtp, imap, dns, ipsec до филиала). Т.е. ничего не меняется.
Что я делаю не так?