есть 2 dfl-800, между ними IPsec поднят, с каждой стороны своя подсеть:
192.168.0.0\24 (сеть1) и 192.168.50.0\24, сервер *.*.50.2 (сервер2 в сети2) и *.*.0.1 (сервер1 в сети1).
все работает отлично,

но вот появилась острая необходимость ограничить сеть1 с сервером1 от подсети2, с условием, что сервер1 и сервер2 будут продолжать видеть ресурсы друг друга как и раньше.

т.е. другими словами: из сети2 до сети1 сможет стучаться только сервер2, а из сети1 до сети2 любой.


наставьте на путь истинный:)

сам планирую это решить путем указания в IPsec тунеле вместо сети 2 только один сервер2, тот, что должен иметь доступ к серверу1, но тогда как я понимаю, хосты из сети1 тоже не смогут стучаться в сеть2, кроме как на сервер2.

может есть более рациональный способ?

У вас сейчас есть 2 правила на каждом из девайсов

allow lan lannet ipsec remotenet all-services
allow ipsec remotenet lan lannet all-services

Что вам мешает в направлении, в котором надо ограничить например доступ в сеть только для сервера, сделать так:

allow lan yourserver ipsec remotenet all-services

?

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

именно это я и имел ввиду)