athacker

Линукс зло, FreeBSD надо ставить.

А на вкладке Performance не пробовали смотреть, во что там упирается производительность этой виртуальной машины?

У нас хранилки на чистой фре работают. 2x10Gbit сетевухи, multipath, тонкое провизионирование, VAAI, все дела. На дисках ZFS в разных позах (zmirror, raidz{2}). Луны создаём на zvol'ах, iSCSI target -- на базе ctld. Всё работает чотко.

"Запустить с учётной записью администратора" делали?

Настройте DNS и сделайте юзерам ярлычки на сетевые ресурсы на рабочих столах. Количество головной боли существенно снизится. Браузинг -- это костыли родом из прошлого века, не надо его использовать.

Для ограничения ресурсов нет смысла городить огород с виртуализацией

На линуксе man ulimit, man 5 limits.conf

Там можно задать ограничения и для CPU, и для памяти на по-юзерной основе.

Доменные политики не сносят настройки прокси, чисто случайно?

Есть, например, скрипты на powershell для бэкапа виртуалок: https://hypervbackup.codeplex.com/

Возможно. См. настройки файрвола и правила с типом dst nat.

Сама по себе AD разворачивается очень просто, путём установки соответствующих служб на любом виндовом сервере и нажатия кнопок Next-Next-Next. Возникает вопрос, что конкретно вы дальше с ней собираетесь делать.

Подробности некоторые можно вот тут почерпнуть, например: www.youtube.com/watch?v=w3vYUyyqiXQ

Кроме TTL, в пакете, прошедшем через NAT, ничего тотально не меняется. SRC-адрес, SRC-порт (возможно), ну и контрольные суммы. Да и с TTL тоже вопрос. На фре, например, можно собрать ядро с опцией STEALTH, и тогда в пакетах, проходящих через NAT, не будет меняться TTL.

Если на планшете сайты таки открываются -- смотрите tcpdump'ом, что за пакеты ходят в это время между ноутом и шлюзом. Разные системы задают разные TTL. Винда, например, проставляет TTL 64, а фря -- 128. Возможно, что на планшете тоже не 64. Это не объясняет тормоза, но объясняет факт открытия сайтов.

zfs спасёт отца русской демократии. Тока надо понимать, что если хочется надёжности, то нужно делать zmirror, и в пул надо добавлять диски парами одинакового размера.

Запрет на установку любых программ достигается учётной записью с типом "Обычная учётная запись", или как-то так. Т.е. НЕ-администратор. Правда, это не запретит использование программ, которые не требуют установки. Хотя это, как правило, небольшие программки, типа аудио-видео-плейеров, и прочего.

1. В целом, равнозначны. Но зависит от того, что вы хотите получить на выходе :-)

2. А вы проверяли у таких пользователей, IP-адрес, который у них на интерфейсе -- он снаружи виден? :-) Или на интерфейсе один белый IP, а если зайти на какой-нибудь 2ip.ru, то там будет совсем другой адрес?

Технически это может быть реализовано так -- у провайдера есть несколько BRAS'ов, к которым подключаются по PPPeE пользователи. В рамках одного BRAS'a адреса должны быть уникальны, а в рамках всего набора BRAS'ов могут и совпадать. У нас так делается, например. Только не с белыми IP, разумеется, а с серыми. Зачем клиентам в этой схеме белые IP выдавать, я не знаю. Каждый BRAS выдаёт IP-адреса клиентам из диапазона 10.0.0.0/16. Т.е. на 1-ом брасе может быть клиент с IP 10.0.0.1, и на втором брасе может быть клиент с таким же IP-шником. Но вот одновременно два клиента на 1-ом BRAS'e не могут получить IP 10.0.0.1, понятное дело. Иначе маршрутизация сломается.

А расширенное логирование в Roundcube включить и посмотреть в логах Roundcube? Ну и посмотреть в логах openldap так же лишним не будет.