защищенный канал с помощью AH, ESP, ISAKMP

есть задача установить туннель через интернет: между локальным клиентом с адресом 192.168.1.11 и реальным ip адресом за пределами лок.сети. Для этого есть софт, установленный у клиента, и требование: открыть порты udp 500 протокол ISAKMP, tcp 51 - протокол AH и tcp 50 - протокол ESP. Есть linux машина между с двумя сетевыми на ней прописываю маскарад: iptables -t nat -A POSTROUTING -s 192.168.1.11 -0 eth0 -j MASQUERADE. где eth0 - адрес сетевой в сторону Инет. но туннель не устанавливается, хотя машина начинает ходить в Инет, т.е. правило рабоатет. "1" в ip_forward стоит. есть информация, что протокол ESP не будет работать через маскарад - это так? и как тогда заставить работать туннель? - помогите, плиз.