IPSec über NAT ist immer so eine Sache. Wenn der Cisco VPN Client voraussetzt, das mit AH (Authentication Header, also Hashwert über den IP Header) gearbeitet wird, ist es klar, das es in die Hose geht. Durch NAT wird da einiges im IP Header geändert und schon haut es mit dem AH nicht mehr hin...