Маршрутизация терминальных пользователей.

Какого рода трафик? Если что то чуть сложнее HTTP, то придется городить огород. TCP пакеты с компа с win2k8 для шлюза будут на одно лицо. В общем случае тебе нужно придумывать какой нибудь sockscap+socks проксик, и через него уже пробовать разрулить поток. Но совершенно не понятно зачем это делать, в условиях задачи это не сказано.

Вполне возможно, что все это заменяют простенькие правила маршрутизации.

Опиши, что ты хочешь получить на выходе.

rdp внутри vpn?

На выходе некоторые пользователей должны ходить в интернет через свой ВПН туннель. И трафик не только HTTP. Как я думаю есть 3 варианта 1) все заворачивать в сквид и сквидом уже разруливать трафик 2) в гостевой создать для каждого пользователя свой сетевой интерфейс и его уже разруливать. 3) В win 2008 можно определенным пользователям терминальным выдавать свой IP но через DHCP сервер. Но непонятно как разруливать это на DHCP сервере, т.к. привязать конкретного пользователя к конкретному IP нельзя, по крайней мере я не нашел. MAC у всех один.

Раннее было - для каждого пользователя была создана своя виртуалка и жестко привязаны интерфейсы.

Вот примерную схемку нарисовал. http://www.gliffy.com/go/publish/4281330/

Нет. Входящий рдп через eth0.

Чегото все-равно ни черта не понятно.

Какой трафик надо рулить? rdp? весь? кроме rdp? интерфейсы VPN на хосте, это vpn к провайдеру с серыми ипами для раздачи инета? Что тогда мешает поднимать их из винды?

Нужно рулить исходящий трафик из терминального сервера. Клиенты подключаются к терминальному серверу извне по рдп.

Что тогда мешает поднимать их из винды?

Хочется основную часть поднять из линукса.

c iptables хоста у вас это не выйдет. Мне кажется любой вариант, кроме прокси будет не ок.

Тогда Вы обратились не по адресу. Нужно каким-то образом сначало привязать в винде источники трафика к пользователям. Вам нужно на виндос-форумах спрашивать как это можно сделать, а потом все станет очевидно.

Либо делать мудрую прокси с авторизацией, можно даже через домен, (если поднимите).

Если коротко, то никак.

На каком-то уровне HAProxy умеет разруливать RDP соединения, добавляя в них печеньки, чтобы один и тот же клиент всегда получал один и тот же терминальник из пула.

Но не наоборот. Привязать траффик к конкретному пользователю, особенно учитывая возможно шифрование RDP малореально.

Если коротко, то никак.

В Линупсе да. А ISA server вроде умел это делать.

Ну мы жеж про линупс здесь ведем беседы)

Платный NuFW, умеет клиента типа ISA client и ntlm авторизацию. Когда то читал их доки, но на ставил. Платный именно клиент, причем только виндовый.