Поскольку задача академическая, то и ее условие надо понимать в академическом смысле. А за пределы «академической» сети L2 трафик никогда не выйдет, поскольку на ее границах стоят шлюзы (роутеры)…
С академической точки зрения, любая сеть внутри себя гоняет исключительно L2 трафик, а наружу имеет только L3 выходы. Чтобы вы знали, IP (Internet Protocol) вообще-то переводится не как «Протокол Интернета», а как «межсетевой протокол».
Поэтому никаких колец в этой схеме нету. Другое дело, что схема полностью некорректна: две сети не могут соединяться друг с другом иначе как через шлюз, да и два роутера не могут быть подключены друг к другу напрямую: два устройства уже сеть. Не говорю уже о том, что два роутера подписаны как сети, и о том, что роутер нужно изображать уже ставшим классикой кружочком со стрелочками, а не какой-то левой картинкой.
Да что вы мне все про Kerberos пишете, когда я вас про всю связку спрашиваю?
Мне не интересно, чего Kerberos не делает, мне интересно, кто этим занимается.
Допустим, на сервер «стучится» клиент с euid 1014 и тикетом, говорящим, что он — user14@SOME.REALM
Каким образом сервер будет проверять аутентичность (без LDAP)? Отбросит реалм и проверит по /etc/passwd? Или алгоритм более сложен?
А что изменится при наличии LDAP?
И еще вопрос: зачем клиенту нужен ключ в keytab? Зачем серверу проверять аутентичность не только клиента, но и рабочей станции? А то я как-то никак не могу найти угрозу, от которой подобным образом защищаются.