День добрый!

Имеется:
Центральный офис DI808HV 1.42 сеть 192.168.1.0
Удаленный офис DI808HV 1.42 сеть 192.168.2.0
Между ними через интернет поднят IPSEC VPN все ок.

Задача:
Ограничить пользователям удаленного офиса выход в интернет.
Разрешен только доступ по vpn в центральный офис

Правильно ли такое решение :
allow: source LAN,192.168.1.10-192.168.1.20 destination wan, 192.168.1.1-192.168.1.254 protocol *,*
deny: source LAN,192.168.1.10-192.168.1.20 destination wan,* protocol *,*


Если нет, как сделать правильно?

С уважением
Владимир

Насколько я понимаю, весь трафик 192.168.2.* -> 192.168.1.* пойдёт в тунель МИМО фаервола. Поэтому достаточно поставить правило типа Deny *,LAN,* -> *,WAN,*, то есть запретить ВЕСЬ трафик из LAN в WAN. Но тогда и в настройках клиентов надо выставить DNS из сети центрального офиса и/или на самом D-Linke тоже поставить DNS из сети центрального офиса.

ок попробуем