@AADIP

Создать туннель напрямую от Satelite к Hosting могло бы сработать. Проблема в том, что я не контролирую (и даже не знаю производителя) роутера «Hosting». У меня более 60 «Satelites». Я бы хотел избежать просьб к хостинг-компании сделать 60+ VPN. Скорее всего, мне также придется менять локальные IP почти на всех моих сателитах. Так что это реально не вариант. Я пытаюсь сделать «Туннель 1» внутри «Main <-> Hosting», который будет, например, /16. Все сателиты тогда будут /24 в рамках этого /16.

@stshaw сделал именно это. И я знаю, как сделать такое через cli и/или json-файл (я подозреваю, что stshaw пользовался json-файлом). Просто я хочу этого избежать и сделать всё через Unifi-gui. Во-первых, я скорее всего забуду, что сделал json, и потом расстроюсь, потому что что-то перестанет работать через 6 месяцев. 😀 Во-вторых, если я завтра помру, мой преемник должен разобраться, что я наковырял, без особых знаний об Ubiquiti.

Проблема сейчас в том, что через gui я НЕ могу управлять «local prefix», только «remote prefix». В «local prefix» включены только «корпоративные» сети. Сеть типа «site-vpn» не входит (и её нельзя выбрать через gui). Так что через gui «этого» не сделать. (Я ожидал, что хотя бы статический маршрут к «Hosting» нужен будет на «Satelite».)

stshaw писал: Я просто добавил новый IPSEC-туннель между Main и Hosting (надо настроить роутеры на обоих концах) и завершил туннель на Main с подсетью, используемой VPN-туннелем Satelite.

Решение примерно такое:

site-to-site {  
peer «Hosting-IP» {  
authentication {  
mode pre-shared-secret  
pre-shared-secret «TheSecretPassword»  
}  
connection-type initiate  
ike-group IKE_«HostingIP»  
local-address «Main-IP»  
tunnel 0 {  
allow-nat-networks disable  
allow-public-networks disable  
esp-group ESP_«HostingIP»  
local {prefix «Main-net»/24}  
remote {prefix «Hosting-net»/24}  
}  
tunnel 1 {  
allow-nat-networks disable  
allow-public-networks disable  
esp-group ESP_«Hosting-IP»  
local {prefix «ALLSatelites-net»/16}  
remote {prefix «Hosting-net»/24}  
}  
}  
}

Видимо, мне придется использовать json-подход. 🙁 Я надеялся на какой-нибудь хитрый snat/маршрутизацию через gui.

@ITBolig

Тебе не нужны правила на LAN_LOCAL. Их надо ставить на LAN_IN. Если ты делаешь блокировку в конце (внизу) своих правил, тебе понадобятся такие правила на всех файрволах:  
#1  
Источник: Satellite  
Назначение: Hosting  
Разрешить  

#2  
Источник: Hosting  
Назначение: Satellite  
Разрешить  

Это как минимум позволит пройти через все файрволы, чтобы Hosting и Satellite могли общаться. Статический маршрут всё равно нужно оставить, но не включай эти подсети в конфиг VPN. Если VPN подключается корректно с каждого спаука, то не трогай его.  

Если у тебя были правила файрвола, позволяющие каждому спауку общаться с основной подсетью, то всё настроено правильно. Если нет — добавь их.  

Если ты ещё не пробовал: попробуй сделать несколько туннелей? Можно сделать спутник—к—главному, спутник—к—hosting. А туннель главный—к—hosting оставь как есть. Если добавить подсети в конфиг VPN спутник—к—hosting и наоборот, то маршруты появятся в таблице после успешного завершения IKE и IPsec.  

Вижу, у тебя уже были проблемы с ручной настройкой. Ты делал отладку, пока этот конфиг был активен?

Поскольку у вашего «главного» роутера есть маршруты и для «hosting», и для «satellite», вам стоит прописать статические маршруты на обоих споках, указывая противоположные подсети на IP VPN-коннектора.

Например:  
Satellite: 10.0.0.1/24  
Main: 10.10.0.1/24  
Hosting: 10.20.0.1/24  

Статический маршрут для Satellite:  
Сеть: 10.20.0.0/24  
Следующий хоп: 10.10.0.1  
Метрика: 5 (или любая удобная для вас)

Статический маршрут для Hosting:  
Сеть: 10.0.0.0/24  
Следующий хоп: 10.10.0.1  
Метрика: 5 (или любая удобная для вас)

Главному роутеру, скорее всего, ничего делать не надо, ведь обе эти внутренние сети уже будут в его таблице маршрутизации, если настройки VPN корректны.

Дайте знать, если после этого останутся проблемы.

Спасибо

@Jparrish  
Я изучу этот подход.

@trent_bob  
У меня есть DNS-сервер на главном сайте, настроенный в «Network», в «DHCP Name server» на спутниковом сайте. Так что с разрешением имен проблем нет, но «только» нет потока данных со спутника через главный на хостинг.

У меня такая же проблема. Я провёл весь день в переписке с поддержкой. Единственная идея, которая у меня осталась после шести часов чата и TeamViewer — возможно, отключить NAT в UniFi Security Gateway?