Просто интересно, не решило бы использование VLAN в DMZ для предоставления доступа к роутеру Fios в интернет? У меня похожая конфигурация, но в итоге мне пришлось оставлять роутер UniFi занимающимся NAT, а применение DMZ просто не работало с CR1000B.

Всё выяснил. Пришлось вручную указать "Remote Authentication ID" в настройках IPSEC Site to Site. Раз USG стоит за роутером FIOS, пришлось использовать WAN IP роутера FIOS в качестве удаленного IP, но вручную указать "Remote Authentication ID" как статический IP USG. Обычно эти два IP совпадают, если один не стоит за NAT. Спасибо всем за помощь!

Моя UXG тоже не имеет этого.

В общем, почему-то на моем USG или UXG нет Teleport. В итоге я поставил USG за роутер FIOS и открыл для него DMZ. Вот что я не предусмотрел: теперь USG по сути имеет LAN-IP, а не WAN-IP, так что я не могу настроить обычный S2S VPN, даже если бы захотел. Мне придется использовать что-то вроде Teleport, WireGuard или OpenVPN. К сожалению, на USG есть только варианты для L2TP VPN. Либо мне придется взять другой UXG, либо понять, как реализовать один из этих других вариантов на моем USG.

@gable74, ну USG Pro уже слишком старый, чтобы там был Teleport... 😭 зато у твоего UXG Pro (Gateway Pro) он должен быть — попробуй проверить! ☺️ Unifi Teleport (VPN) очень прост в использовании и стабилен.

@gable74, настоятельно рекомендую использовать Unifi Teleport (VPN), если у тебя UNIFI USG Pro. Установи приложение Unifi под названием Wifiman. Ты как будто по волшебству увидишь, как устройства, находящиеся за файрволом (Verizon FIOS роутер), подключаются к USG Pro. https://help.ui.com/hc/en-us/articles/5246403561495-UniFi-Gateway-Teleport-VPN

В качестве альтернативы, если бы был простой способ создать VLAN на USG и полностью выдать интернет одному устройству/IP-адресу в этом VLAN (роутер провайдера), то размещение этого роутера провайдера за USG должно было бы работать. Или я что-то упускаю? Как можно открыть все порты или создать правило брандмауэра, чтобы это сделать?

@gable74 Зачем вообще нужен VPN S2S? Какой конкретно тип VPN S2S вы хотели использовать? Можно использовать VPN, который поддерживает CGNAT, Double NAT и NAT Traversal, тогда не придётся перенаправлять порты на роутере FIOS.

На самом деле, это может быть не так уж и сложно определить: если вы раньше проделали какие-то дырки в брандмауэре USG для VPN, то должны быть в состоянии прочитать важные номера портов из этих настроек. Важно понимать, что здесь вы настраиваете систему "двойной NAT". (Некоторые скажут, что двойной NAT — это зло, но это не так уж и плохо.) Это означает, что локальное IP-пространство устройств за USG должно отличаться от IP-пространства устройств, подключенных напрямую к коробке FiOS. Например, если коробка FiOS настроена с локальными адресами 192.168.1.0/24, то за USG следует использовать другую подсеть, скажем, 192.168.2.0/24. Если вам повезет, они уже разные, но если нет, вам придется изменить адреса одной из групп устройств или другой. Дайте USG "WAN-адрес", который является вручную назначенным адресом в локальной сети коробки FiOS, убедитесь, что он не является частью DHCP-диапазона, который коробка FiOS выдает. Затем у вас должна быть связь с интернетом из-за USG, и как только вы пробросите нужные порты в коробку FiOS, ваш S2S тоже должен работать. Ну, по крайней мере, так теория. Сообщите нам, как продвигается.