Configurar uma infraestrutura habilitada para failover com VPN e tráfego direto do ISP (proxy) para uma LAN e ISP direto para outra sub-rede/LAN, precisa de informações

Question

Estou procurando resolver o seguinte problema da maneira mais limpa e sucinta. Eu preferiria usar um único dispositivo/servidor para fazer isso, mas percebo que talvez seja necessário reunir algumas ferramentas adicionais para fazer isso. Achei que seria melhor começar aqui para obter algum feedback sobre o que é viável. Parece que talvez a solução ClearOS ou Untangle possa funcionar, mas ainda não estou totalmente certo sobre os detalhes do que pode ser necessário.

Efetivamente, quero fazer isso (diagrama):

No que diz respeito à verbalização, vou tentar aqui e qualquer um pode se sentir à vontade para corrigir a mim ou ao meu processo de pensamento ou terminologia à medida que prossigo.

Preciso configurar um servidor gateway/firewall que receba um ISP primário e um ISP secundário como backup (failover, mas nem sempre conectado, a menos que seja necessário). Preciso então servir uma conexão OpenVPN com a rede principal. Isso também terá um servidor DNS e fornecerá DHCP à LAN.

Todo o tráfego passará por esta conexão OpenVPN, mas também preciso fornecer um serviço de proxy que permitirá que determinados clientes na LAN usem o(s) ISP(s) direto(s) para conectividade em vez da VPN, se assim o desejarem. (ou seja, algumas máquinas podem querer que todo o seu tráfego passe pelo ISP e aquelas que o fizerem terão um servidor proxy SOCKS para atender às suas necessidades.)

A QoS provavelmente fará parte da equação em algum momento, mas ainda não está totalmente determinada. É provável que o roteador sem fio que fornece tráfego direto do ISP tenha taxa limitada.

Finalmente, se a VPN ocasionalmente apresentar problemas de conectividade. Precisarei me conectar a um nó diferente se alguém tiver um problema e, se isso acontecer, ele tentará se conectar ao próximo em um estilo round robin até que tenha uma conexão. Suspeito que posso lidar com isso a partir de um servidor terciário que terá um script ou daemon que posso construir que acionará a reconexão do OpenVPN e o round robin'ing, se necessário, pois duvido que algo tenha essa funcionalidade integrada no momento.

Alguma ideia sobre quais opções existem para conseguir isso? Como observei, suspeito que terei que unir alguns serviços ou servidores diferentes, mas prefiro manter isso o mais simples e limpo possível. O XenServer com algumas máquinas virtuais funcionou "ok" até este ponto, mas não consegui juntar todas as peças do diagrama.