Раздача интернета через VPN туннель

Доброго. Подскажите пожалуйста как прокинуть интернет через VPN тунель? Задача на склад прокинуть интернет из офиса. Сеть и там и там одного и того же провайдера. Настройки следуйщие:
Офис SRV1 на нем интернет и керио 8.6.2 build 3847
WAN
217.79.15.20 Белый
255.255.252.0
217.79.15.1
192.168.5.254 (собственный DNS сервер)
LAN
192.168.5.1
255.255.255.0
шлюз не стоит
192.168.5.254 (собственный DNS сервер)
VPN 172.209.209.0 DNS 192.168.5.254

SRV2 керио 8.6.2 build 3847 его нужно подключить к интернету.

WAN
10.57.59.2
255.255.192.0
10.57.0.1
192.168.5.254
LAN
192.168.6.1
255.255.255.0
шлюза нет
192.168.5.254
VPN 172.208.208.0 DNS 192.168.5.254
На данный момент туннель уже прокинут и локалка работает. Видется и туда и сюда и по имени и по IP. Вот только не пойму как инет прокинуть. Подскажите пожалуйста.
Да еще если из офиса командой tracert пробить тот же яндекс то офис тоже прыгает на шлюз 10.57.0.1 (мало ли будет полезно)

[exchar]

без скринов правил трафика с обоих kerio рано что-то говорить

Ок. Завтра все скину (сегодня провайдер что то меняет на трассе и нет связи со складом).

Добавлено через 2 часа 33 минуты
Вот скрины:
Офис правила

Маршрутизация офис

Склад правила

Маршрутизация склад

Ну вот как то так.

[exchar]

на складе измени имеющееся правило трафика с NAT)

источник: доверенные-локальные
назначение: интернет-интерфейсы
службы: http, https, dns... (ну или "Любой" для проверки работы)
трансляция: источник NAT(ip-адрес-локального-интерфейса-в-офисе), без мапинга (адрес назначения), выглядит аналогично [Для просмотра данной ссылки нужно зарегистрироваться].

если не взлетит, то убери в этом правиле галку с источника NAT и поставь галку на маппинге, т.е. MAP(ip-адрес-локального-интерфейса-в-офисе)

Перепробовал все вышеописанное. Ничего не работает.(((

[exchar]

в офисе или на складе в керио прокси включен?

[Valery12]

Цитата

Сообщение от Pagot

Доброго. Подскажите пожалуйста как прокинуть интернет через VPN тунель? Задача на склад прокинуть интернет из офиса. Сеть и там и там одного и того же провайдера

Никакими правилами тут горю не поможешь, прокинуть интернет со склада означает весь нелокальный трафик отправить по туннелю в центральный офис, но "закон маршрутизации строг но справедлив" весь этот трафик, для которого не прописаны маршруты пойдет в дефолтный шлюз 10.57.0.1.

[Valery12]

как финт ушами можно попробовать следующий вариант
на складском керио добавить статический маршрут к 217.79.15.20 через 10.57.0.1 после этого дефолтный шлюз с интерфейса WAN убрать совсем
а добавить на интерфейсе VPN дефолтным шлюзом адрес VPN сервера центрального керио, видимо 172.209.209.1

[exchar]

Цитата

Сообщение от Valery12

Никакими правилами тут горю не поможешь, прокинуть интернет со склада означает весь нелокальный трафик отправить по туннелю в центральный офис, но "закон маршрутизации строг но справедлив" весь этот трафик, для которого не прописаны маршруты пойдет в дефолтный шлюз 10.57.0.1.

я лет десять назад делал ровно ту же схему, что хочет Pagot на kwf 6.х, еще бы вспомнить как =)
можно вообще через parent proxy сделать, кстати.

[Valery12]

Цитата:

Сообщение от exchar

можно вообще через parent proxy сделать, кстати.

это проще всего но это не "весь интернет" а только HTTP, FTP

[exchar]

Цитата

Сообщение от Valery12

это проще всего но это не "весь интернет" а только HTTP, FTP

так может на склад остальное и не надо?

Надо что бы со склада sip коробка spa2102 достукивалась до сервера в офисе (через туннель) (собственно сейчас так и происходит) ну и что бы была возможность лазить по сайтам. более ничего не надо.

Добавлено через 2 минуты

Цитата

Сообщение от Valery12

как финт ушами можно попробовать следующий вариант
на складском керио добавить статический маршрут к 217.79.15.20 через 10.57.0.1 после этого дефолтный шлюз с интерфейса WAN убрать совсем
а добавить на интерфейсе VPN дефолтным шлюзом адрес VPN сервера центрального керио, видимо 172.209.209.1

Это сработает?

Добавлено через 1 час 32 минуты

Цитата:

Сообщение от exchar

я лет десять назад делал ровно ту же схему, что хочет Pagot на kwf 6.х, еще бы вспомнить как =)
можно вообще через parent proxy сделать, кстати.

Во во я тоже делал лет 6 назад, а вот как не помню.(((

[exchar]

Цитата

Сообщение от Pagot

Во во я тоже делал лет 6 назад, а вот как не помню.(((

ага
а вообще, в офисе включи непрозрачный прокси, на складе в браузере вбей в настройки прокси адрес локального интерфейса керио в офисе и попробуй так.
кстати, форвардинг dns на складе как настроен?

У меня в настройках и там и там забит сервер dns офисный по этому форвардинг отключен.

[exchar]

попробуй тогда сделать с прокси как я написал перед этим

как то через прокси тоже тишина (все равно лезет через провайдера.

[exchar]

тогда так
на складе в керио поставить галку на непрозрачном прокси, в его настройках прописать родительский прокси - локальный интерфейс шлюза в офисе.
на клиенте на складе в браузере пишем прокси склада.
в офисе проверяем что прокси на керио включен.

Всю голову уже себе сломал))) Написал ради хохмы в поддержку, так те фигню ответили и пропали. На все дальнейшие письма отмалчиваются. Видать тоже по форумам спрашивают как прокинуть))))

[Valery12]

Цитата

Сообщение от Pagot

как то через прокси тоже тишина (все равно лезет через провайдера

так не бывает, раз лезут через провайдера, значит в браузере прокси не указан.

УУРРАААА 2 бессонные ночи но я все таки его победил и заставил трафик лесть в туннель