Сергей Бирюков

Может стоит посмотреть в сторону Steam Link с его фичей "Remote Play"?
Насколько помню, можно даже докупить отдельный контроллер и подключить его к ТВ.

В сертификате должно быть (пример):

----BEGIN PRIVATE KEY-----
[Your private certificate]
-----END PRIVATE KEY-----
----BEGIN CERTIFICATE-----
[Your certificate]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Intermidate#1 certificate]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Intermidate#2 certificate]
-----END CERTIFICATE-----

ROOT исключить, т.к. это не желательно (иначе будет предупреждение об "Chain issues - Contains anchor" при проверке сертификата).

Так что вам нужно только пересобрать PFX-файл, без ROOT

вот хорошие статейки
раз https://netflow.by/blog/item/129-nastroika-mikroti...
и два habrahabr.ru/post/179149

Прочитайте, сделайте по ним - проблем быть не должно

1 вопрос - у вас в картинке где ЦОД есть адреса 10.1.1.x и 192.168.1.x (а именно .4 и .5). Это правда или Вы ошиблись?

2 вопрос - Коробочка ONT ELTEX настроена в режиме моста (BRIDGE)?
По уму она должна быть настроена в режиме роутера с 2 интерфейсами (например 10.1.1.254 и 192.168.1.254).
Тогда на СlearOS Вы должны прописывать GW не на порт (dev eth1), а на IP адрес шлюза, который принадлежит подсети, в которой данный ClearOS находится:
- для ClearOS1: route add -net 192.168.1.0 netmask 255.255.255.0 gw 10.1.1.254 metric 1 eth1
- для ClearOS2: route add -net 10.1.1.0 netmask 255.255.255.0 gw 192.168.1.254 metric 1 eth1

Если вы делите 2 сети, то, на границе сетей, должен быть маршрутизатор с 2 интерфейсами принадлежащим этим сетям.

Нет, без знания паролей пользователей у Вас это не удастся сделать.
Даже миграция в Office365 требует вода паролей пользователей (исключение только при наличии PST-архивов пользователей).

Посудите сами, на новом почтовике Вам и так придется заводить учетки, а следовательно и пароли к ним. Так что проще сбросить всем пароли, на выходные настраиваем заливку почты на новый сервак, а в понедельник пользователи могут снова сбросить пароль на старый.

Ваш подход правильный, только смысл подключать телефоны в офисе на отдельный физический порт в Asterisk? Вы не используете VLAN'ы дабы разделить голосовой трафик и данные?
Если у вас неуправляемые свитчи, где нет возможности нарезать VLAN'ы, тогда этот подход имеет смысл.

По поводу сложных логинов/паролей - все правильно.

Не понял только начало схемы, вы городские номера где принимаете? Если на аналоговой АТС - тогда проблем нету, выход в/на город у вас все равно будет проходить через аналоговую АТС. В этом случае у Вас Asterisk выступает просто в роли расширения функционала АТС до уровня "цифра в локалке" и вы не принимаете из города SIP-звонки напрямую.

Крутим "гайки" дальше. На тунеле микротика можно разрешить только SIP-трафик (разрешайте TCP/UDP 5060). Если не будете использовать SSL, то можно только UDP/5060 - это стандартный порт для SIP.

Не забываем про файервол в самом CentOS (вроде бы в вебке Elastix вожно настраивать доверенные узлы).

Так что подводя короткий итог, если вы не принимаете напрямую SIP из интернета и пользователи у Вас в периметре безопасности локалки, то Ваша схема имеет место "быть".

Не знаю поможет ли это Вам или нет, но у знакомого была такая же проблема с провайдером Билайн. У него в Личном Кабинете была активирована опция Файервола (Брандмауэра) на максимальную защиту (повторюсь это не в роутере, а на стороне провайдера). Сбросили в стандарт и все нормализовалось.

Он божился что ничего там не делал и впервые эту опцию видит. Но факт остается фактом.

Если коротко, то да можете. Работать будет. Для администрирования хватит.

+1 за nas.
www.citilink.ru/catalog/computers_and_notebooks/hd... будет вам задел на будущее в плане расширения дискового пространства, можете прикрутить IP видеокамеру наблюдения (1 лицензия на камеру бесплатно в составе поставки, больше - расширение через покупку доп.лицензий).

Ах да, PPTP либо OpenVPN сервера уже в составе устройства, останется только пробросить порт на роутере (пример, для PPTP нужен только один порт пробросить на роутере в сторону NAS = 1723/tcp) + завести логины/пароли пользователей на устройстве.