Исходное сообщение
"IPSec site2site + ISA nat" Отправлено Pve1, 25-Мрт-10 21:43
>[оверквотинг удален] >Если можно - поподробней вашу идею. >На текущий момент у Cisco есть интерфейс и в 10.0.0.0/8 подсеть и >в подсеть с ИСА. > >Логика такая: Выход в интернет должна иметь только ИСА, потому как на >ней много правил, разрешающих интернет по протоколам/группам, публикуются сервера в интеренет >и т.п. >Роутинг между подсетями филиалов и офиса должна осуществлять Cisco. > >Спасибо за ответ.. сегодня/завтра попробую. Просто по нарисованной схеме я понял, что весь внутренний лан подключен к исе без прямого выхода на роутер.  И весь трафик проходит через ису. И соответственно предложил 2 интерфейса между исой и рутером. На одном нат - в интернет. На другом роутинг в впн-каналы. Тогда и роут-мап не нужен, т.к. нат на 1-м интерфейсе. Но раз рутер подключен напрямую в 10.0.0.0 сетку - то это очевидно излишне. Я правильно понял, что в вашей 10.0.0.0.24 сетке - рутер является шлюзом по умолчанию. А интернет трафик перенаправляется на ису файервол-клиентом по socks-proxy? При этом иса шлюзом не является? В этом случае все должно работать с предложенным мной ACL.