Имеем D-Link DFL-600 H/W Ver. 2A1, F/W Ver. 3.35; ISA 2004 SP1
Собираем следующуу конфиг.

Remote net 192.168.1.0/255
DFL-600 - LAN 192.198.1.1
DFL-600 - WAN xxx.xxx.xxx.xxx (public)
IPSec
ISA 2004 WAV yyy.yyy.yyy.yyy (public)
IAS 2004 LAN 10.aaa.aaa.aaa

Никаких проблем. Все бегает. Усложняем, встраивая NAT-сервер арендодателя

Remote net 192.168.1.0/255
DFL-600 - LAN 192.198.1.1
DFL-600 - WAN 192.198.0.5
IPSec
NAT-сервер LAN 192.168.0.1
NAT-сервер WAN xxx.xxx.xxx.xxx (public)
IPSec
ISA 2004 WAV yyy.yyy.yyy.yyy (public)
IAS 2004 LAN 10.aaa.aaa.aaa

Таким образом IPSec устанавливается через NAT-соединение

Получаем следующее:
1. IPSec поднят;
2. Пинг из Remote net не идет на yyy.yyy.yyy.yyy (public) и 10.aaa.aaa.aaa, но идет на xxx.xxx.xxx.xxx (public) и все другие внешние хосты (кроме указанных).
3. В статусе IPSec (DFL-600) видно, что пакеты отправляются, но не один пакет не приходит.

Народ, в чем загвоздка? Возможна ли такая работа IPSec вообще?

Господа, а куда делся пост, с ответом, в котором был ответ о невозможности такого соединения и пост с вопросом - почему???

1. Это

наводит на мысль, что у Вас ошибка в конфигурации: по всей видимости трафик на WAN интерфейс ISA "заворачивается" в туннель, хотя он должен идти без криптования (криптоваться должен только трафик LAN-LAN).
2. Вы уверены, что данный NAT умеет работать с ESP (AH)?
3. Какие сети (ip адреса) у Вас указаны в свойствах IPSEC туннеля для DFL и ISA? Интересуют значения:
1. remote gateway
2. local subnet
3. remore subnet

NAT на w2003 sp1

настройки:
DFL-600
LAN: 192.168.1.1 / 255.255.255.0
WAN: 192.168.0.5 / 255.255.255.0 / DG 192.168.0.1
Termination IP: yyy.yyy.yyy.yyy
Starting Target Host: 10.aaa.aaa.0 / Subnet Mask 255.255.255.0

ISA 2k4
LAN 10.aaa.aaa.0 - 10.aaa.aaa.255
WAN yyy.yyy.yyy.yyy
Remote VPN gateway: xxx.xxx.xxx.xxx
Address Range 192.168.1.0-192.168.1.255

Вроде ничего не забыл..

а есть возможность снифеером посмотреть трафик между:
1. LAN и 10.a.a.a. сетью ISA сервера.
2. ISA и NAT устройством (outside интерфейсом)
3. NAT и DFL-600
4. между LAN DFL-600 и сетью 192.168.1.0 во время пинга из 192.168.1.0 WAN и LAN интерфейсов ISA.
Дампы должны представлять отдельные файла формата tcpdump и сниматься в одно и то же время.

Пришлите также конфиг-файл DFL-600, пожалуйста.

Виктор, отправил почтой..