Использую D-Link 604, машины с XP

В WAN подключена локальная сеть с интернетом (по маку). Пользуемся из инета http, ftp, icq. Больше ничего не надо.
внешний IP 10.1.6.120 - прописан в D-Link

в LAN подключены 3 машины
IP - 192.168.0.171
IP2 - 192.168.0.172
IP3 - 192.168.0.173

Интернет работает на всех 3х, папки расшаренные видны. Все ОК.

Собственно вопрос:

Я был уверен что через NAT моя LAN и внешняя LAN (включенная в WAN) полностью изолированы друг от друга.
Случайно запустил ланскоп (сканнер) на одной из машин и увидел прекрасно ресурсы из внешней сети, к расшаренным есть доступ...

А они к моим расшаренным получается тоже или необязательно?

Проверить свою сеть снаружи от других пользователей сети WAN не могу, может мне подключть один из компов в WAN и попробовать просканировать свою сеть с той стороны D-linka или это неправильный подход?
Как мне удостовериться (настроить) чтоб моя сеть и шары были полностью недоступна снаружи?

Заранее спасибо за разъяснения.

К внешним ресурсам вы имейте доступ через NAT, а внешние пользователи к вашим ресурсам могут получить доступ, только если вы сделайте проброс портов на конкретные машины.
Если хотите удостовериться, просканируйте роутер на открытые порты со стороны WAN.