1) При стандартной настройке NAT (incoming NAT for ANY) pptp не работает, хотя tcp/1723 и GRE транслируются во внутрь, проблема в том, что только обратный GRE трафик от сервера не транслируется. Для этого необходимо добавить и исходящее правило NAT (any, hide) только для GRE трафика и разрешить в ACL исходящий трафик только для GRE. Ответные же TCP и UDP от VPN сервера будут автоматический выпущены в контексте инициирующего их входящего NAT.
2) L2tp по умолчанию не работает, так Windows (клиент и сервер) не понимают NAT-T. для этого необходимо включить опцию в registy по статье:
https://winitpro.ru/index.php/2017/10/24/reshaem-problemu-podklyucheniya-k-l2tp-ipsec-vpn-serveru-za-nat/
или использовать командлет PowerShell для внесения изменений в реестр:
Set-ItemProperty -Path "HKLM:SYSTEM\CurrentControlSet\Services\PolicyAgent" -Name "AssumeUDPEncapsulationContextOnSendRule" -Type DWORD -Value 2 –Force
