ISA 2004 (SBS2003R2) - Problem mit Zugriff auf internen Terminal Server (2008) via VPN

Folgendes Szenario:

Netzwerk, bestehend aus
- DSL Router
- IP LAN: 192.168.2.1
- Portforwarding für PPTP auf den SBS
- SBS 2003 R2 mit ISA2004
- IP WAN: 192.168.2.5
- DNS WAN = Router IP
- Gateway = Router IP
- IP LAN: 192.168.1.5
- SBS ist DC
- diverse XP Clients in LAN Netz (192.168.1.0)
- Windows Server 2008 als Terminal Server
- eingebunden ins AD
- IP: 192.168.1.3
- DNS: 192.168.1.5

Die ISA Firewall ist für den Zugriff via VPN (PPTP) konfiguriert. Ein Zugriff von Extern auf den SBS via RDP ist kein Problem.
Ebenso ist der Terminal-Server vom SBS aus via RDP erreichbar.

Das Problem ist folgendes:
Nach dem Aufbau der VPN-Verbindung ist es nicht möglich, eine Remotedesktop-Verbindung mit dem Terminal-Server herzustellen.
ISA blockt anscheinend die Pakete vom Terminal-Server zurück zum VPN-Client:

Der Terminal befindet sich im ISA Netzwerk "intern", der entfernte Rechner im Netzwerk "VPN-Clients".

Folgende Netzwerkregeln sind angelegt:

Entsprechend dem Tutorial auf msisafaq.de zum Thema RDP-Serververöffentlichungen (http://www.msisafaq.de/anleitungen/2004/Firewallrichtlinien/RDP.htm) habe ich den Terminal-Server für Zugriffe aus dem VPN-Netzwerk auf dem Standard-Port veröffentlicht: