подскажите какими правилами можно отправить весь трафик на ДМЗ в dfl-210.

DFL-210 должен использоваться только в качестве ВПН шлюза, дальше управлять трафиком будет линуксовый шлюз (линуксовый шлюз плохо работает с корбиновским ВПН)

Трафик должен идти весь, политиками DFL не срезаться.

Спасибо.

Вы хотите сделать прозрачный мост между клиентом VPN на DFL и линуксовым шлюзом? Или просто пробросить все сервисы на линукс?

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

Смотря как вы хотите подключать ваш шлюз - скорее всего NAT+port forwarding?

Тогда, используйте стандартные NAT правила (папка lan_to_wan) и сделайте дополнительно порт маппинг - SAT+Allow правила. Теоретически в них можно указать all_services, но что из этого на деле получится я не знаю. Но в этом случае из-за еще одного NAT у вас все равно может быть ряд проблем, например с VoIP.

С другой стороны, если у вас есть на подключении дополнительный белый адрес, то вам надо сделать Allow правила wan<->dmz.

_Added:

PS А можно ли сделать "прозрачный мост"?

PPS Я бы (так и делаю) на сервер отправил прозрачное проксирование, а NAT оставил за DFL.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Скорее всего да. Бегло прописал вместо NAT -> Allow для правила lan->wan и увидел, как с моим локальным IP пакеты пошли в качестве source IP клиента VPN. Чтобы проверить остальное, надо весь конфиг перелопачивать, прописывая доп. подсеть на lan, меняя связки МАКов и т.д. ---> лень

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

Линуксовый шлюз должен быть не за натом - на него просто должны идти все пакеты - нат вообще не нужен.

есть internet_ip - ип полученый от корбыны
есть gmz_ip - ип дмз
есть ips_lin - ип линуксового сервака

какими правилами отправить абсолютно весь входящий трафик на ип линуксового сервака

ips_lin чему равен?

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

dmz_ip - 172.20.1.1
ips_lin (ип линукса) - 172.20.1.10 (будущий шлюз clarkconnect5)

Ну и как Вы собрались IP из подсети 172.х.х.х гнать в Интернет без NATа?

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

обыкновенно.

на цисках это называется nat 1 к 1

так же как на роутерах, когда включаю там дмз. (dir-130)

Ну так сделайте 3 правила, попробуйте

SAT wan/all-nets core/wan_ip all_services (new dest = 172.20.1.10)
Allow wan/all-nets core/wan_ip all_services
NAT dmz/dmznet (можно заменить на 172.20.1.10) wan/all-nets all_services

Но скорее всего NAT получится ассиметричным.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Вы сами себе противоречите. Я спросил, как обойтись без NATа, а Вы предлагаете решение а-ля nat 1:1
Тут либо использовать вариант, который предложил danilovav, но это NAT, т.е. у линуксовой машины будет адрес из приватной подсети, либо придумать вариант с правилом Allow и соответствующими маршрутами, чтобы в интерфейсе dmz был public IP. Тогда IP, полученный от Корбины, будет висеть на линуксе на интерфейсе, смотрящем в сторону dmz роутера.

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

Dima G.
Спасибо.

А как вот это сделать "либо придумать вариант с правилом Allow и соответствующими маршрутами, чтобы в интерфейсе dmz был public IP. Тогда IP, полученный от Корбины, будет висеть на линуксе на интерфейсе, смотрящем в сторону dmz роутера." - ?

Какие могут быть варианты?

Сложно сказать, реализуемо ли такое. Как минимум, будут два правила:

Allow vpn_cli/all-nets -> dmz/ips_lin all_services
Allow dmz/ips_lin -> vpn_cli/all-nets all_services

Эти правила разрешат хождение трафика между логическим интерфейсом VPN клиента и физическим в виде интерфейса DMZ. Адресация при этом будет сохраняться. Но дальше самое интересное - маршруты. А вот тут я не знаю, что писать и сам хотел бы посмотреть варианты Тут нужно экспериментировать и смотреть логи, сниффер, что вообще происходит. Линуксовой машине присвоить IP, полученный из Корбины. (Кстати, если он не статический, тут тоже проблема может всплыть с правилами). На dmz повесить дополнительную подсеть в виде IP-lin/32. Ну т.д.

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

ип от корбины статический)