сложно спорить не зная физики между двумя железками .
можно хоть по PPTP хоть два рядом . надо понять что и куда пихать .

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

IPSec работает только поверх IP, на физику ему, извиняюсь, насрать. Если удалось установить IPSec, то с вероятностью близкой к 100% рядом с ним можно гнать всё, что ходит по IP, порнушку из Интернета, например .

Верно, трафик не нуждается в шифровании, IPSec был построен, чтобы объединить две сети, а дальше что-то изобретать. Повторюсь, между WAN-ами с обеих концов стоят еще по одной железке, которые выступают шюзами для наших Dlik-ов и к которым нет доступа для настройки маршрутов, а сеть на этих портах для каждого объекта (филиала) ограничена количеством IP (по маске до 6 ip). Если возможно в этом "огороде" построить маршруты без IPSEC PPTP и прочих туннелей, я не возражаю, только не знаю как маршруты прописать, минуя железки (шлюзы) к которым доступа нет.

Топикстартер, нарисуйте подробную схему, с адресацией, всего того хозяйства, что сейчас есть, включая устройство, через которое подсеть за DFL ходит в Интернет.
Так будет понятнее не только Вам, но и нам.

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...

Как-то у Вас нестандартно, обычно VPN от провайдера -- это L2, а нагородить маршрутизаторы, да еще без возможности настройки..., я бы такой сервис послал подальше. На практике сейчас часто вообще проще заказать у провайдера только доступ в Интернет во всех локациях, ибо времена ADSL-модемов кончаются, а на симметричном канале даже 10Мбит/с с тем же IPSEC на DFL поверх получается VPN, вполне пригодный, например, для работы ~20 пользователей с удаленным рабочим столом.

Если оставить всё как есть , но под доступом в Интернет понимается обычное лазанье по страницам, ограничения по адресации не проблема -- просто придется NATить два раза. Или три , но я бы все же переделал схему в головном офисе, заведя Интернет непосредственно на DFL -- будет существенно проще.