Блокировка доступа в интернет и VPN по IPoE

[Existor]

Всем привет!
Прошу оказать методологическую помощь при решении следующей задачи:

Имеется несколько USB устройств Yota LTE (безлимит) в балансировке, и локальное подключение к местному провайдеру интернета (IPoE с помегабайтной оплатой) - назовем этот интерфейс WAN (с белым ip-адресом) по которому доступны одновременно локальная сеть провайдера и внешние интернет-ресурсы.

Требуется блокировать возможность доступа пользователей в Интернет через WAN, при этом сохранив возможность удаленного подключения на белый айпи WAN интерфейса для VPN-клиентов.

Как это грамотно можно организовать?

[panika187]

Тут надо руководствоваться правилом, что не разрешено, то запрещено.

Правило главное на запрет всего.А после уже начинайте делать исключения для тех видов трафика коему можно будет шнырять.

[Existor]

Цитата

Сообщение от panika187

Правило главное на запрет всего.А после уже начинайте делать исключения для тех видов трафика коему можно будет шнырять.

- Прописано 0 в балансировке на WAN
- Создан трафикполиси по блокировке прокидывания любого трафика из локальных интерфейсов в WAN и наоборот.

Тем не менее, когда Йота подыхает, кирюша всех юзеров начинает балансить на WAN с дорогим трафиком... Игнорируя трафикполиси и нулевую балансировку, которые отрабатывают, пока Йота жива.
Если переместить WAN из Интернет в Другие интерфейсы (исключив таким образом из балансировки), VPN-клиенты подключиться уже не могут.

Влетать в копеечку не очень хочется, поэтому и прошу подсказать людей, понимающих логику работы балансировки и VPN-сервера, как это можно грамотно побороть - и WAN юзерам закрыть, и возможность для подключения ВПН-клиентов сохранить на белый айпи WAN.

[panika187]

Здесь есть тема с ручной балансировкой между двумя каналами как в вашем случае между дорогим-быстрым и медленным-халявным.

Поищите тему.Думаю вам будет она полезна.