Netzwerk Fritzbox 7390 VPN Verbindung - Portfreigabe NAT-T

Ich bekomme es einfach nicht hin obwohl es so Simple sein sollte....

Ich habe ein Netzwerk von 3 Fritzboxen die ein VPN bilden mit verschiedenen Netzen 192.168.x.0/24.

Zum Problem:


Ich habe einen VPN-Client(Server) der sich mit Fritzfernzugang einwählt sowie über die Öffentliche IP eines Router surft.

Nun möchte ich eine Portfreigabe auf den ==> VPN-Client(Server) einrichten gesagt getan.

upd 9987 ==> 192.168.0.204 (IP des VPN Client im Netz)

Es ist aber so das alle Portweiterleitungen auf den VPN-Client nicht funktionieren. Scheint wohl ein Problem mit dem NAT sein.

Obwohl ich use_nat_t = no; ausgeschaltet habe ist irgendwo der Wurm drinne, kann mir jemand helfen der Tiefer in der Geschichte ist ?

Die VPN-Client Config
version {
revision = "$Revision: 1.30 $";
creatversion = "1.1";
}


pwcheck {
}


datapipecfg {
security = dpsec_quiet;
icmp {
ignore_echo_requests = no;
destunreach_rate {
burstfactor = 6;
timeout = 1;
}
timeexceeded_rate {
burstfactor = 6;
timeout = 1;
}
echoreply_rate {
burstfactor = 6;
timeout = 1;
}
}
masqtimeouts {
tcp = 15m;
tcp_fin = 2m;
tcp_rst = 3s;
udp = 5m;
icmp = 30s;
got_icmp_error = 15s;
any = 5m;
tcp_connect = 6m;
tcp_listen = 2m;
}
ipfwlow {
input {
}
output {
}
}
ipfwhigh {
input {
}
output {
}
}
NAT_T_keepalive_interval = 20;
}


targets {
policies {
name = "xxxx.dyndns.org";
connect_on_channelup = no;
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
virtualip = 192.168.0.204;
remoteip = 0.0.0.0;
remotehostname = "XXXX.dyndns.org";
localid {
user_fqdn = "XXX@XXXX.de";
}
mode = mode_aggressive;
phase1ss = "all/all/all";
keytype = keytype_pre_shared;
key = "k9bkXXXXXXXXXba80a#d302";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipaddr = 192.168.0.204;
}
phase2remoteid {
ipnet {
ipaddr = 192.168.0.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.0.0 255.255.255.0",
"reject udp any any eq 53",
"reject udp any any eq 500",
"reject udp any any eq 4500",
"permit ip any any";
wakeupremote = no;
}
}


policybindings {
}


Vielen dank an die die versuchen zu Helfen!