Как завернуть интернет трафик через удаленный филиал используя WatchGuard XTM2 и BOVPN?

Question

[dmsn]

Схема (во вложении) – 5 периферийных подсетей (офисов) связанных с центральной с помощью BOVPN-туннелей.
Везде используются межсетевые экраны WatchGuard XTM2.
Проблема заключается в том что Интернет подан не на основную точку, а находится на периферии.
Основная задача, организовать доступ к сети Интернет от всех точек подключения через имеющуюся периферийную.
Такую задачу я легко реализовывал на оборудовании Mikrotik, путем маркировки трафика (mangle routing mark) на точке обделенной интернетом, и созданием маршрута через туннель на основании данной маркировки. На точке где Интернет присутствовал – транслировал адреса из удаленной серой сети в сторону сети Интернет.
В разрезе технологий основанных на оборудовании WatchGuard XTM смотрю в сторону Route for All Internet-Bound Traffic goo.gl/JGKk3D . Но опасаюсь что это может поломать связи с информационными ресурсами расположенными на центральной точке подключения.
Так же начинаю рассматривать вариант с HTTP-прокси сервером на точке подключения с выходом в Интернет и раздаче параметров Proxy через групповые политики.
Прошу высказать свои пути решения данной проблемы, если они, конечно, есть.

Answer 1

[Валентин]

Я не сторонник использовать проприетарные вендор зависимые технологии, тем более в довольно простых сетях. По XTM ничего сказать не могу, но на типовом оборудовании типа цисок и микротиков много можно чего придумать:
1) PBR на железке с доступом в интернет
2) прокинуть интернет в центр с помощью еще одного, отдельного туннеля хоть на VRFах, хоть на L2TP
3) просто на подключенной к инету железке сделать инет в одной VRF, Vpn - в другой, подать все это на центральную точку

Если есть достаточное количество белых адресов при подключении к инету , нат бы всё же делал на центральной точке. Логичнее как-то...