Ребят, строго не судите, перерыл все, что можно. Вобщем имеем dfl 210, внутренняя локальная сеть (192.168.10.хх) внешняя локалка (10.23.8.хх). Есть ли возможность у такой железки пускать клиентов с внутренней сети в инет( то есть внешку) через pptp? Инет подключается посредством того же pptp, это сделано, работает. Но никак я не могу разобраться с этими правилами. Впн клиент к провайдеру подключен, а трафик не могу направить не то что на авторизованного пользователя по впн, а просто в локалку внутреннюю... И при всем этом нужно резать скорость каждому клиенту....Вроде так легко и так сложно, что не сплю 2ю ночь, не могу разобраться, помогите, если можете, буду безумно благодарен!!!
LAN IP:
192.168.1.190
WAN IP:
10.23.8.3
DNS:
10.10.10.5
VPN provider:
10.10.7.7

Следуйте корбиновскому FAQ - http://ftp.dlink.ru/pub/FireWall/%d0%9d ... cobina.pdf

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Уже несколько раз делал, но самое главное, разве там ВПН сервер поднимается для авторизации пользователей для выхода в инет? По-моему не так...я создаю впн сервер, подключаюсь по правилам локальной БД, все нормально...но если в ip правилах прописываешь пул айпишников внутренней сети в ван-то пинги до сервера впн провайдера есть, а если меняешь интерфейс на "интернет интерфейс" (напомню там pptp клиент) то по логике должны быть пинги в инет...но к сожалению нет....

Вы неправильно сформулировали что вам надо
Переделайте правила lan_to_wan на pptp_server > wan

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Я именно это и пытался сделать...проблему решил! отчаившись сикнул по дефолту, запустил визард, а потом уже готовенькое поменял на то, что вы сказали) Вобщем уже сижу в нете через него)). Осталось только одно как порезать на каждого из клиентов трафик? имеется канал 5 мбит, на каждого по мегабиту...пул адресов pptp сревера 192.168.1.50-192.168.1.100

http://dlink.ru/ru/faq/85/758.html
В pipe включите group by source IP

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Хорошо, с этим тоже разобрался, шейпирит, но как сделать 2 группы клиентов-у одних шейпер есть, граничит, а у других он не нужен, все подключаются по впн также, пул тот же...и еще вопрос, как сделать авторизацию по ip? просто писать маршруты? как то не дело...

Сделайте 2 pipe rule - например, у одного (выше) нет для определенных IP/группы, ниже есть для всех остальных

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Не много не понял, если можно по-подробней. Еще остается пара вопросов. Для выдачи инета писать правила в ip rules? Ведь в аутентификации пользователей нет авторизации по ип... и еще нет ли возможности отключать определенных пользователей по дате?

>>Сделайте 2 pipe rule - например, у одного (выше) нет для определенных IP/группы, ниже есть для всех остальных
>Не много не понял, если можно по-подробней
1. Objects > Address book
Делаете группу vip_users из адресов (или пул тоже)
2. Traffic shaping > Pipe rules
pptp_server/vip_users wan/all-nets, оставляете pipes пустыми
pptp_server/pptp_pool wan/all-nets, заполняете pipes
В итоге для VIP не будет ограничений, для всех остальных будут

>Для выдачи инета писать правила в ip rules?
Да, там
На правило можно назначить группу из авторизации, чтобы работало - http://dlink.ru/ru/faq/85/574.html

>Ведь в аутентификации пользователей нет авторизации по ип
Зачем? Если у вас адреса статические и неизменные, то вам авторизация вообще может быть не нужна, просто pptp_pool в NAT правилах замените на группу разрешенных адресов

>и еще нет ли возможности отключать определенных пользователей по дате?
Можно использовать schedule на правилах вместе с индивидуальными правилами под юзеров

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Еще бы можно было бы по определенной дате менять скажем пароль или логин клиенту, чтобы при входе по vpn вылетала ошибка авторизации...а так пользователя создай, дай ему отдельное правило для выпуска его внутреннего ип в инет и только там сделать shedule...и так для каждого...жесть. И если сделаешь правило, то оно впн разрешит подключить, в инет естественно не пустит. Нашел более менее проще решение: создаешь группу правил для каждого ипа клиента с действием Deny начиная с определенной даты и поднимаешь эту папку правил вверх естественно. Проще я думаю никак не сделать?

А зачем правило для каждого? Если у юзеров разные логины, тогда лучше, чтобы они были членами одной группы. Тогда правило нужно одно. Если надо пользователя лишить привилегий, то достаточно у его логина убрать указание о членстве в группе.

У вас какие-то непростые задачи. Такие нужды обычно провайдерам нужны. Если у вас 5 человек, то это одно дело. А если десятки, то лучше установить RADIUS и авторизацию проводить с его помощью. DFL при этом в плане настройки менять не придется. А все задачи - вплоть до увеличения скорости на основе полнолуния - делать в RADIUS'е.

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)

Благодарю, буду разбираться)