hint000

Заходите на 192.168.4.3


В пункте 3 прописываете 192.168.4.1 или\и 8.8.8.8, галку в 3.2 убираете (она не позволит прописать forwarders).
Теперь о смысле. Если так не настроено, то:
Клиент хочет узнать адрес yandex.ru, видит 192.168.4.3 в списке DNS, делает запрос у 192.168.4.3 о адресе yandex.ru, но 192.168.4.3 знает только о своём домене, он не знает про yandex.ru и отвечает клиенту отказом. По-хорошему клиент должен сразу задать тот же вопрос следующему DNS в списке (192.168.4.1) и получить нормальный ответ. Но в windows работа с DNS всегда была корявой, неадекватной. Винда как бы говорит вам "если я не получу правильный ответ от DNS с первой попытки, то вы у меня помучаетесь!"
Если вы добавите forwarders, то 192.168.4.3 при запросе yandex.ru скажет (сам себе) "Так, про yandex.ru я ничего не знаю, значит спрошу у 192.168.4.1", и он спрашивает у 192.168.4.1, получает ответ, и затем передаёт этот ответ (от своего имени) клиенту. Т.е. клиент с первой попытки получит то, что ему нужно.

Есть ещё один вариант. Будет ли он работать лучше - зависит от роутера Cisco. Прописываете на роутере два DNS: 192.168.4.3, 8.8.8.8. При этом в DHCP убираете 192.168.4.3 из списка DNS. Т.е. клиенты получают DNS 192.168.4.1, 8.8.8.8. При запросе имён из AD роутер должен переслать запрос на 192.168.4.3. При этом уже не нужно (и даже немножко вредно) прописывать forwarders на 192.168.4.3. В теории должно работать не хуже, чем первый вариант, но нужно проверять на практике, т.к. в каждой конкретной сети и с каждой железкой могут быть свои заморочки.

post-up iptables -t nat -A POSTROUTING -s '192.168.0.0/24' -o vmbr0 -j MASQUERADE

добавьте к этой команде ещё такую:

post-up iptables -t nat -A OUTPUT -s '192.168.0.0/24' -o vmbr0 -j MASQUERADE

Поясню логику. Дело в том, что

Провайдер говорит, что видит 192.168.0.1

, а это адрес физического хоста, того же самого, на котором выполняется MASQUERADE. Цепочка POSTROUTING работает для пакетов, которые форвардятся (например, с виртуалок), а для пакетов, генерируемых этим же хостом, POSTROUTING не работает, вместо этого нужно использовать OUTPUT.

Полностью поддерживаю все предыдущие ответы. Но добавлю то, что поможет практически:
Диапазон с 192.168.104.1 по 192.168.107.254 укладывается в одну подсеть и вместе с тем -

Что бы Чтобы они не залазили в 100 подсеть.

Чтобы связь была двусторонней, надо чтобы "видимость" была и в обратную сторону, а в вашем случае 192.168.1.0/24 "не видит" (в ваших терминах) 192.168.0.0/23. Т.е. когда вы посылаете ping из 192.168.0.0/23, то он доходит "туда", но не может вернуться "обратно".

1. в вашем облаке есть возможности нагородить firewall за пределами этого виндового сервера? Если есть, то надо городить. Если нет, то придётся обойтись штатным виндовым firewall'ом.

2. Пуск - Администрирование - Службы удалённых рабочих столов - Конфигурация узла сеансов удалённых рабочих столов - RDP-Tcp - Свойства - Общие - проверить крыжик "Разрешить... с проверкой подлинности на уровне сети". Должен стоять этот крыжик, без него быстрее ломается. (но зато без него
можно заходить с Windows XP).

3. Обновления.