есть следующая схема:
(группа G1, группа G2, клиент A и клиент B подключены через свитч к g0/1 на 7206, сама же 7206 через g0/2 видит мир)

Группа клиентов G1 ---/-------------\
Клиент A ------------------|                  |     _____
                                          | SWITCH |----| 7206 |----> Inet
Клиент B ------------------|                  |      ~~~~~
Группа клиентов G2----\------------/

нужно канал разбить на несколько частей, и одну сделать статической, а другую плавающей внутри себя. Иными словами:
Есть канал 10Мбит.
Группа G1 должна быть отрезана на 2Мбита. (это стандартное решение) а вот группа G2 и клиенты А и Б должны быть разбиты на 5, 2 и 3 мегабита, но если кто-то не использует свою полосу полностью, то у других (группы G2, клиента А или Б) за счет этого клиента должна полоса увеличиваться. И наоборот, когда тот, у кого другие использовали полосу, вдруг начинает активно пользоваться интернетом, то его ширина полосы бы восстановилась.

Проблема: опробовал локально (на столе) - вроде работает. поставил железку в работу, а результаты она выдает совершенно другие. Группа G1 отрезается нормально, а вот внутри Flow-Policy настоящий бардак. Например, если клиент А начинает что-то усиленно качать, то он давит всех остальных (клиента Б и группу G2) Подскажите, что не так? я подозреваю что может быть что-то с натом связанное?

моя конфигурация на маршрутизаторе получилась следующая:

interface GigabitEthernet0/1
description - Input-from-LAN -
ip address 10.0.0.1 255.0.0.0
ip nat inside
bandwidth 10000
service-policy output Main-Policy
!
interface GigabitEthernet0/2
description - Output Gateway to Inet -
ip address 201.201.201.201 255.255.255.252
ip nat outside
service-policy output Main-Policy-out
!
policy-map Main-Policy
  class Group-G1
  shape average 2000000
  class Obshyak
  shape average 8000000
  service-policy Flow-Policy
!
policy-map Flow-Policy
  class Client-A
  bandwidth 2000
  random-detect
  class Client-B
  bandwidth 3000
  random-detect
  class Group-G2
  bandwidth 5000
  random-detect
!
class-map match-all Group-G1
match access-group 101
class-map match-all Client-A
match access-group 102
class-map match-all Client-B
match access-group 103
class-map match-all Group-G2
match any
!
! в группу 2 входят все оставшиеся локальные адреса и оставшиеся реальные
!
!
policy-map Main-Policy-out
  class Group-G1
  shape average 2000000
  class Obshyak
  shape average 8000000
  service-policy Flow-Policy-out
!
policy-map Flow-Policy-out
  class Client-A-out
  bandwidth 2000
  random-detect
  class Client-B-out
  bandwidth 3000
  random-detect
  class Group-G2-out
  bandwidth 5000
  random-detect
!
class-map match-all Group-G1-out
match access-group 104
class-map match-all Client-A-out
match access-group 105
class-map match-all Client-B-out
match access-group 106
class-map match-all Group-G2-out
match any
!
ip nat pool P1 190.190.190.10 190.190.190.10 netmask 255.255.255.0
ip nat pool P2 190.190.190.11 190.190.190.11 netmask 255.255.255.0
ip nat pool P3 190.190.190.12 190.190.190.12 netmask 255.255.255.0
!
ip nat inside source list 1 pool P1 overload
ip nat inside source list 2 pool P2 overload
ip nat inside source list 3 pool P3 overload
!
ip nat inside source static 10.100.100.13 190.190.190.13
ip nat inside source static 10.100.100.14 190.190.190.14
!
access-list 1 remark --- Pool-1 ---
access-list 1 permit 10.10.0.0 0.0.255.255
access-list 2 remark --- Pool-2 ---
access-list 2 permit 10.100.0.0 0.0.255.255
access-list 3 remark --- Pool-3 ---
access-list 3 permit 10.210.0.0 0.0.255.255
!
access-list 101 remark --- to Group-G1 ---
access-list 101 permit ip any 10.10.0.0 0.0.255.255
access-list 101 permit ip any host 190.190.190.10
access-list 102 remark --- to Client-A ---
access-list 102 permit ip any host 100.100.101.1
access-list 103 remark --- to Client-B ---
access-list 103 permit ip any host 100.100.101.4
access-list 104 remark --- from Group-G1 ---
access-list 104 permit ip 10.10.0.0 0.0.255.255 any
access-list 104 permit ip host 190.190.190.10 any
access-list 105 remark --- from Client-A ---
access-list 105 permit ip host 100.100.101.1 any
access-list 106 remark --- from Client-B ---
access-list 106 permit ip host 100.100.101.4 any
!
ip route 0.0.0.0 0.0.0.0 201.201.201.202
!