Во-во-во, очень актуальная для меня тема.

В общем, ситуация вполне стандартная: три пользователя из одного подъезда подключаются к сети провайдера. В этой сети помимо локальных ресурсов наличествует доступ в Интернет через VPN-подключение (PPTP). С целью разделения этого счастья на троих был приобретён роутер DI-604. Очень порадовало то, что помимо VPN pass-through у этого устройства имеется (в полной мере с обновлением прошивки) возможность самому подключаться к провайдерскому VPN-серверу и раздавать Интернет.

Всё бы хорошо, но возникли проблемы:

1) VPN pass-through, сиречь на компе создаётся VPN-подключение. Врубаю его -- Интернет появляется, но пропадает локалка. Объясняется легко: при подключении к VPN-шлюзу провайдера, на локальный комп добавляется маршрут для внешней сети (0.0.0.0/0) с шлюзом, выданным этим VPN-сервером. То есть во так:

10.10.*.* -- выданный VPN-сервером адрес шлюза
192.168.0.1 -- DI-604

Заметьте, метрика у него ниже "правильного" маршрута. Соответственно, запросы на провайдерскую локалку (которая также относится к внешней сети) маршрутизируются на неподходящий шлюз. Лечится это легко: прописываются постоянные маршруты вида:

* -- каждая подсеть локалки провайдера.

Всё вроде в шоколаде, но проблема выползает, когда другой из трёх соседей в то же время захочет Интернета. И фигушки! Ведь один из них уже авторизовался на VPN-сервере! Что делать? Пробуем другой вариант:

2) VPN PPTP настройки непосредственно на роутере. И здесь опять поначалу всё отлично -- DI-604 цепляется на VPN-сервер, Интернет шарится на всех трёх. Но не работает локалка! И в данном случае от дополнительных правил маршрутизации на компах толку не будет, надо что-то делать на роутере. Но что?

Очень надеюсь на вашу помощь.

Спасибо.

Будет работать, кудаж ему деваться. Внутреннему не надо ничего маршрутизировать, его задача поднять тунель через внешний. А внешний для туннеля будет прозрачен. На клиентах default gateway - lan-интерфейс внутреннего плюс статический маршрут до локалки провайдера через lan-интерфейс внешнего.

А не станет ли внутренний роутер пускать запросы к внешнему через VPN-сервер? Пробовали ли Вы такую схему сами?

Насколько я понимаю вариант с двумя 604 тоже будет вполне работоспособен.