Туннелирование Открытого Узла, Hw1000

[Отдел ИБ]

Приветствую всех, кто заглянул в тему.

Появилась необходимость в удаленном доступе через интернет к серверу, который находится за координатором HW1000 (см. рис).

Вроде бы логика простая:

1) В ЦУСе в настройках координатора прописываем в качестве туннелируемого ресурса внутренний адрес сервера 192.168.0.2, рассылаем справочники всем клиентам сети.

2) Если не прописывать никаких дополнительных правил, мы можем достучаться до сервера с удаленного клиента, на котором установлено ПО VipNet Client.

Вопросы:

1) По какому адресу обращаться к туннелируемому серверу? По мне, так логичнее по виртуальному, однако пинги не идут ни по реальному, ни по виртуальному.

2) На разных випнет клиентах виртуальные адреса туннелируемых ресурсов отличаются, как в таком случае сделать адрес туннелируемого ресурса универсальным для обращения?

3) Пытался писать на координаторе разрешающие правила по типу "rule num=20 proto any from any to 192.168.0.2 pass" в разных секциях файерволла, однако результат нулевой. Секции [tunnel] на координаторе у меня нет и он не позволяет ее создать.

Может быть здесь какой-то другой принцип подключения, которого я не понимаю. В мануале я не нашел информации по туннелям касательно подключения к туннелируемому ресурсу с удаленного узла.

Подскажите, пожалуйста, я уверен, что для опытных администраторов VipNet-сетей настройка подобных туннелей - дело обыденное.

[mirov]

1) обращаться по адресу видимости туннелируемого сервера на стороне каждого клиента;

2) если нет пересечения адресов сети сервера и клиентов, то универсальным будет обращение по реальному адресу;

3) при прочих равных секция [tunnel] в старых версиях координатора располагалась в iplir.conf.

[Отдел ИБ]

1) обращаться по адресу видимости туннелируемого сервера на стороне каждого клиента;

2) если нет пересечения адресов сети сервера и клиентов, то универсальным будет обращение по реальному адресу;

3) при прочих равных секция [tunnel] в старых версиях координатора располагалась в iplir.conf.

1-2) К сожалению, клиент не может достучаться до сервера ни по реальному, ни по виртуальному ip-адресу.

3) У меня координатор старый, но в файле iplir.conf можно только сами туннели прописать (альтернативный вариант через ЦУС), а вот секция [tunnel] также отсутствует, при попытке дописать ее возникает ошибка о нарушении синтаксиса.

Все-таки, как при описанной мной топологии обращаться к туннелируемому ресурсу?