из заказчиков тестлабы делать, да

а что хотите как на загнивающем западе?)

Чтобы всё работало без бубна? да)

А АРМ с ПУ ЦУС и сам ЦУС можно в разных контролируемых зонах размещать или только внутри одной? Лвс между ПУ ЦУС и ЦУС может выходить за пределы контролируемой зоны?

Лвс точно не может

такое разве законно возможно?)
зы\ молоток.ру не предлагать

А если криптотуннель?

Можно совершить дудос топором

так к4 же

к3.7 тож будет меньше чем через месяц.

Можно и в защищаемой сети другого КШ. Но там есть доп.условия, описаны в правилах пользования - МЭ должен стоять и сертифицированный антивирус вроде как

Судя по правилам пользования, разместить АРМ С ПУ ЦУС не получиться в другой контролируемой зоне/
==
7.27. Если компьютер с ПУ подключается к ЦУС не по отдельной единственной фи-зической линии, выделенной исключительно для подключения к ЦУС, или возможно под-ключение не проверенных на вирусы носителей информации, то на ПУ должен быть уста-новлен персональный МЭ (например, СКЗИ "Континент-АП") и антивирусное программное обеспечение, сертифицированное ФСБ России. В настройках МЭ должен быть запрещен до-ступ ко всем сетевым сервисам, работающим на компьютере администратора, за исключе-нием сервисов, необходимых для функционирования ПУ. Антивирусные базы должны регу-лярно обновляться.
7.28. Компьютер с ПУ не должен иметь подключений к внешней сети, находящейся вне контролируемой зоны.
==

Противоречий нет - АРМ с ПУ стоит в защищаемой сети другого КШ, в пределах контролируемой зоны, МЭ и правилами на КШ настроено, чтоб только до ЦУСа через тоннель трафик ходил, во внешние сети ни-ни

Из правил:
ПУ комплексом устанавливается на рабочее место (РМ) администратора, которое находится в той же сети, что и ЦУС. Допустимо выполнять установку ПУ комплексом на компьютере в защищенной сети, расположенном в другом сегменте защищаемой сети по отношению к ЦУС, при выполнении дополнительных требований безопасности, приведен-ных в п.7.27

Так можно?

Подскажите, пожалуйста. Имеется 3 КШ (A, B, C) , все соединены провайдером, маршрутизаторы которого ничего не знают о внутренних сетях за КШ. В канальной среде внешнего интерфейса  КШ "А" есть внешний обьект. Как внутренним обьектам КШ "В" и "С" получить доступ к внешенему обьекту канальной среды КШ "А" , не прибегая к  NAT на этих КШ?

С маршрутизаторами обычно все просто:указал туннель, за которым предполагаемый обьект, он туда его и отправит, а вот с ЦУС непонятно поведение трафика

Нарисуйте картинку

Допустим, есть необходимость добираться всем пользователям внутренних сетей через КШ "А"