Заадача:
Локалка с доступом в интернет по выделенной линии через DI-804.

В локалке есть PC с установленным VPN клиентом Cisco - связывается с удаленным офисом.
Интернет идет без проблем, VPN клиент соединение установить не может. Этот же PC через GPRS или модем связывается мгновенно.

В DI-804 firewall полностью открыт, VPN pass through - enabled, VPN DI-804 не включен.
Провайдер клянется, что порты не фильтрует.

Чего в настройках может не хватать?

Не хватает проброса udp-500 для установления сессии IKE инициатора и принимателя соединения.
Если IP на WAN интерфейсе не реальный, то возможно придётся играться с Aggressive mode и NAT-T

как это сделать?
Или где посмотреть?
Перелопатил форум и DOC - пока безрезультатно.

Если речь идёт о PortMapping
http://www.dlink.ru/technical/faq_internet_27.php

Прописал порты:
UDP 10000
UDP 500
ALL 50
UDP 1723
ALL 47
UDP 4500
Результата нет.

VPN Client как и раньше выдает ошибку

1 12:04:22.239 07/12/06 Sev=Warning/2 CVPND/0xA3400018
Output size mismatch. Actual: 0, Expected: 233. (DRVIFACE:1361)

DI-804 окне Active session дает

192.168.1.3:63199 UDP 231.213.101.221:62514 57309 98
192.168.1.3:63200 UDP 231.213.101.221:62514 57311 99

и т.д.

К сожалению я не знаю по какому принципу производится авторизация Cisco client
В классическом понимании, сначала идёт обмен ключами через IKE-UDP500, потом пакеты инкапсулируются в ESP-протокол50, для его пропуска как раз и ставится галка IPSec Passthrough enable.
Вы так и не сказали, есть ли NAT в локалке провайдера. Если да, то так же нужно пробрасывать порты либо же использовать NAT-T

у провайдера NAT нет - широкополосный доступ без каких либо ограничений.
а как можно использовать NAT-T?

NAT-T используется если на пути трафика стоит NAT и запрещен пропуск ESP протокола, тогда пакеты инкапсулируются в UDP-4500 и отправляются как UDP трафик, а не prot=50.
В вашем случае попробуйте принимающую сторону перевести в agressive mode.

Головной офис работает со всеми филиалами. Из-за нашего менять настройки им нежелательно.
В настройках, которые они нам дали - просили открыть указанные выше порты включая UDP 4500 и IP 50.