Спасибо за ответ... Я только пытаюсь в этом разобраться. Не знал, что можно направить только что обнаруженное устройство на удалённый контроллер. Следующий вопрос: разве нет облачного контроллера от Ubiquiti, чтобы не заморачиваться с пробросом портов на роутере? Мне кажется, должно быть можно создать учётную запись Ubiquiti, к которой устройства будут подключаться, и управлять ими через веб-портал. В общем, я справлюсь... Завтра придёт второй USG, я просто подключу его к резервному провайдеру на обоих объектах, чтобы ничего не сломать, и буду экспериментировать, пока не настрою всё как надо. Спасибо ещё раз.

Позвольте уточнить по последнему вопросу, теперь, когда у меня немного больше информации... Я пытался понять, как один контроллер может управлять несколькими локациями. Не мог разобраться, как мой Mac в точке 1 сможет видеть или управлять USG в точке 2. Похоже, что решением является cloudkey. Я бы поставил USG в каждой локации вместе с cloudkey, и ключи в каждой точке будут синхронизироваться с контроллером в облаке. Я правильно понимаю ситуацию?

Это старая тема, так что кое-что изменилось, но вот:  
#2 — да, именно так это и работает, но оба USG должны быть подключены к одному контроллеру как отдельные сайты. То есть, можно настроить Сайт №1 в Нью-Йорке, а Сайт №2 — удалённо, в Нью-Джерси. Тогда данные и настройки будут храниться отдельно для каждого сайта. Поскольку оба связываются с одним контроллером, при использовании Auto, если у Сайта №2 динамический WAN IP и он меняется, контроллер это заметит и обновит конфигурацию Сайта №1, чтобы она совпадала. Чтобы всё это работало, оба сайта должны обмениваться данными с контроллером через интернет или с помощью FQDN. Если вы используете IP-адрес удалённо, контроллер на другой стороне не сможет узнать, где теперь находится новый IP контроллера.  
#3 — именно Auto VPN занимается этим. Site-to-site IPSEC — это ручная настройка.

У меня та же проблема с двойным NAT. Это не работает. Речь про IPsec (когда выбираешь "auto" site-to-site и указываешь другой USG)... по-моему... Я много раз видел в этом форуме, что «IPsec через двойной NAT не работает — надо использовать OpenVPN»... Но после некоторых поисков в интернете я наткнулся на вот что: теоретический обход — это «nat transversal» («NAT-T»), когда пакеты Ipsec ESP (протокол 50) упаковываются в UDP-пакеты на порту 4500. Так что в теории нужно на граничном устройстве пробросить на USG (приватный IP для WAN USG) следующие порты: udp 4500, udp 500, esp (протокол 50).

Всё, что я читал, говорит, что оба устройства должны поддерживать NAT-T, чтобы перевод сработал. Я пробовал — без результата, обратился в поддержку UBNT, жду ответа. Также сегодня писал об этом в форумах — пока без удачи.

Ещё я нашёл информацию, что «стандартный» Ipsec-over-UDP использует порт 10000 (https://supportforums.cisco.com/document/64281/how-does-nat-t-work-ipsec)... но не уверен, связано ли это с моей проблемой, ещё не пробовал.

Просто загуглите «ipsec over double nat», и вы найдёте много всего на эту тему.

Так почему бы просто не использовать OpenVPN и не закончить с этим?

Как я писал в более ранней теме сегодня утром, OpenVPN ломает USG — и локальный, и удалённый USG уходят в загрузочный цикл. Обходных путей не нашёл.

В общем и целом, вот к чему я пришёл и что сейчас считаю фактами:  
1) Конфигурация usg site-to-site с «auto» НЕ работает, если ты находишься за двойным NAT с одним устройством (хотя, может, я просто что-то делаю не так — я новичок и у меня только гугл в помощь!).  
2) OpenVPN через GUI/контроллер ломает USG с обеих сторон.  
3) Сейчас никак не получается запустить site-to-site на USG, жду поддержки.

Извини, бро, удачи тебе пока.