в дополнительном офисе стоит DI-804 на прямом ip
через него 2 компа (10.0.10.x) ходят в инет
и так же на нем настроен ipsec туннель с основным офисом

как бы так умудриться чтобы один из тех компьютеров мог попадать только в интернет скажем по порту 80, а больше никуда, в том числе и в тоннель.

как я подозреваю 804-й не хочет правила файрвола применять на тоннель. но может можно еще как нить выкрутиться
может если воткнуть тот комп в DMZ то он не будет видеть тоннель или еще как..

или скажем настройкой файрвола на другой стороне тоннеля. там стоит DFL-700 он то должен это уметь.

Приавильно с 804-м ничего не настроишь. Максимум это только выход в интернет _только_ 80-tcp.
А насчёт фильтрации трафика Вы правы, dfl-700 может фильтровать соединения, для этого нужно ему снять галочку Allow All VPN, тогда будет возможность создавать правила по направлениям.

снял галочку на DFL-700
мигом отъехали все 30 каналов
судорожно поставил обратно
видимо для них нужно тогда принудительно создавать разрешающие правила, а иначе попадает в final drop?

Совершенно верно. "Снять галочку" для одного не получится