Здравствуйте!
Офис А (192.168.1.0/24) и офис B (192.168.3.0/24) объединены двумя DFL-210 через IPSEC-туннель. Доступ в локальную сеть из A в B и обратно работает без проблем. Необходимо чтобы компы из сети A ходили в интернет через B, помогите разобраться с правилами.

Настройки для A:
IPSEC:
Имя: tunnel_to_b
Локальная сеть: lannet (192.168.1.0/24)
Удаленная сеть: all_nets
Удаленный конечный узел: none
Режим инкапсуляции: tunnel

Правила:
ALLOW tunnel_to_b lannet_b lan lannet all_services
ALLOW lan lannet tunnel_to_b lannet_b all_services

tunnel_to_b и wan объедиенены в группу wans, есть правило:
NAT lan lannet wans all_nets all_services

Маршруты:
tunnel_to_b all_nets 0
wan wannet 90
wan all-nets wan_gw 90
lan lannet 90

Настройки для B:
IPSEC:
Имя: tunnel_to_a
Локальная сеть: lannet (192.168.3.0/24)
Удаленная сеть: lannet_a
Удаленный конечный узел: remote_a
Режим инкапсуляции: tunnel
Keep_Alive: Auto

Правила:
ALLOW tunnel_to_a lannet_a lan lannet all_services
ALLOW lan lannet tunnel_to_a lannet_a all_services
NAT lan lannet wan all-nets all_services

Маршруты:
tunnel_to_a lannet_a 0
wan wannet 90
wan all-nets wan_gw 90
lan lannet 90

Работает только доступ в локальные сети из A в B, доступ во внешние сети из A отсутствует, где ошибка?

А где же на B правило

NAT tunnel_to_a lannet_a wan all-nets ?

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Добавил, все равно доступа во внешку из А нет.

Для IPSec на B укажите как локальную сеть all-nets.

Еще 2 мелких вещи:
- почему на A не указан Удаленный конечный узел
- метрику на B для маршрута tunnel_to_a lannet_a 0 можно сделать не столь экстремальной, а, к примеру, 10.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

ЗАРАБОТАЛО!!!

По поводу остального:


Дело в том, что у B wan_ip динамический, пробовал прикручивать DynDNS - не обновляет. Я так понимаю, что при данной схеме инициатором IPSEC всегда является B, что меня вполне устраивает.



Согласен, исправил

Спасибо большое!

Подскажите, а можно такой же фокус провернуть с DI-804HV?
Т.е. в точке А DI-804HV, а в точке В DFL-210?

Оказалось, что можно...
пришлось только с маршрутом по умолчанию извратиться - разбить на два...