Здравствуйте!
имеется такая ситуация:
филиал - сеть 192.168.2.0/24
стоит DI-804hv
LAN - 192.168.2.1
WAN - 172.21.7.11 - адрес выдан ISP
ISP gateway 172.21.7.12(на самом деле это роутер центрального офиса)
центральный офис(ЦО) - сеть 192.168.0.0/24
ещё один DI-804hv
LAN - 192.168.0.2
WAN - 172.21.7.12 - адрес выдан ISP
между ними настроена VPN через IPSec - работает, вопрос не в этом.
в центральном офисе ещё есть роутер(FreeBSD) на котором прописана статическая маршрутизация в сеть 192.168.2.0 через gateway 192.168.0.2
У него 2 сетевых интерфейса - 192.168.0.1 и 172.21.7.13(тоже выдан ISP). Через последний ЦО ходит в интернет.
И хотелось бы, чтоб филиал ходил в интернет через фряшный роутер.

на данный момент я пришёл к выводу, что не пропускает фаерволл на 804hv в центральном офисе. Пробовал добавлять правила, но безрезультатно. В сеть центрального офиса из филиала доступ есть, все машины пингуются в обе стороны. а интернет из филиала через ЦО -нет
вот трассировка с компа филиала:
Трассировка маршрута к ya.ru [213.180.204.8]
с максимальным числом прыжков 30:

1 1 ms 1 ms 1 ms localhost [192.168.2.1]
2 1 ms 1 ms 1 ms 172.21.7.12
3 * * * Превышен интервал ожидания для запроса.
4 * * * Превышен интервал ожидания для запроса.
5 *

подскажите, как настроить правила firewall-a?И вообще,возможно ли такое?

Нет дело не в firewall, данный роутер не позволяет сделать маршрутом по умолчанию IPSec тоннель.

а если без IPsec ?

Боюсь больше никак если в хотите чтоб обе сети видели друг-друга. Или использовать два DFL-210