Multi WAN + Load BALANCE + Traffic Shaper

[hikauz]

Здраствуйте,

Хочу установить 2 сервера PfSense 2.0 (роутер и прокси).
Роутер только для балансировки и failover.
NAT не нужен, так как NAT будет на 2 прокси серваке, иначе получиться 2 NAT

У меня 3 линии, из-за дороговизны Инета, отсутствия доступа к сайтам и протоколам
1. 512/256 в Мир - закрыты протоколы голосового трафика + VPN + запрет некоторых URL, 4096/4096 - в доменную зону UZ - открыты все порты и URL
2. 1024/1024 через спутник в Мир- открыты все протоколы и URL (задержка 700-900 мс)
3. 2048/512 - в Мир, закрыты протоколы голосового трафика + VPN + запрет некоторых URL

Задача обеспечить наилучшее распределение нагрузки по внешним каналам для всех служб, в т.ч. веб-серфинга. Имеются DNS, VoIP, Jabber, Mail, OpenVPN, WWW SSL службы.

что я сделал:
1. Сконфигурировал 4 сетевые WAN - 3 реальные WAN (подключенные к провайдерам) + 1 WAN из второй /29 подсети 1 канала (сеть позади моего статичного IP /30, выдан провайдером и прописан в его маршрутизаторе)
2. Отключил NAT - перевел в ручной режим и все удалил.
3. Сконфигурировал 3 шлюза для 3 WAN и дал им weight соответственно 1-3-5, поставил значения триггеров
4. Создал 2 группы шлюзов - в одной tier 1 у всех (balance), в другой tier 1,2,3 в порядке очереди (failover)

1 – вопрос, как мне настроить load balance и failover с 1 WAN/29- на 3 WAN? через правила? указать в качестве шлюза группу balance и failover?

Если я так сделаю, то будет ли маршрут исходящий по 2 и 3 каналу, возвращаться по ним же. Ведь source IP от прокси сервера будет из 1 канала, затем pfsense router перешлет по одному из 3 каналов, но только в маршрутизаторе провайдера 1 прописана эта подсеть /29.
Каким будет маршрут возвращение пакета? Всегда только через 1 канал?
Если да, то как можно этого избежать без NAT?

2 - вопрос, можно ли разделить траффик по пользователям, т.е. у меня есть 2 группы пользователей, к которым нужно применить приоритет траффика или ограничение скорости. Скажем 1 группе гарантированно - 30% при необходимости, второй - 70% и более если 1 группа не активна в Squid прокси?

[rubic]

Без NAT на роутере не взлетит. Не только ответ не будет возвращаться по 2 и 3 каналу, но и запрос, думаю, от чужого белого IP провайдером сразу будет отправлен в трэш.