Привет всем ! Собственно возникла проблема при настройке IPSEC тунеля через NAT. Изначально было так :
-есть компания 1 и компания 2
-компании 1 и 2 решили поднять туннель между своими роутерами
-интерфейс в WAN компании 1 - PPP.PPP.PPP.PPP
-интерфейсы компании 2 в WAN AAA.AAA.AAA.AAA и BBB.BBB.BBB.BBB
- по требованиям безопасности компании 1 (будь она неладна) туннель возможен лишь между  двумя частными адресами MY.HOST и OP.HOST находящимися за роутерами компаний
   - MY.HOST компания 2
   - OP.HOST компания 1
всё бы вроде понятно, и со стороны компании 2 был написан слудующий конфиг :

! - ключи
crypto isakmp policy 100
encr aes
authentication pre-share
group 2
crypto isakmp key $$$$$$$$$ address PPP.PPP.PPP.PPP
!
! - трансформация
crypto ipsec transform-set PEER-VPN esp-aes esp-sha-hmac
! - криптокарта
crypto map VPN 100 ipsec-isakmp
set peer PPP.PPP.PPP.PPP
set security-association idle-time 3600
set transform-set PEER-VPN
set pfs group5
match address ACL-VPN
!
!- смотрит в WAN на нём висит криптокарта
interface FastEthernet0/0.1
ip address AAA.AAA.AAA.AAA 255.255.255.252
ip nat outside
ip virtual-reassembly
crypto map VPN
!
!- смотрит в WAN
interface FastEthernet0/0.2
ip address BBB.BBB.BBB.BBB 255.255.255.252
ip nat outside
ip virtual-reassembly
!
!- внутренний порт, из его подсети надо попасть на ту сторону
interface FastEthernet0/1.1
ip address 172.31.255.129 255.255.255.240
ip nat inside
ip virtual-reassembly
! -дефолтный маршрут в зависимости от работающей соски
ip route 0.0.0.0 0.0.0.0 AAA.AAA.AAA.AAA 20 track 123
ip route 0.0.0.0 0.0.0.0 BBB.BBB.BBB.BBB 10 track 124
!
ip nat inside source route-map ISP1-NAT interface FastEthernet0/0.1 overload
ip nat inside source route-map ISP2-NAT interface FastEthernet0/0.2 overload
ip nat inside source static 172.31.255.130 MY.HOST <---- конвертация
!
ip access-list extended ACL-VPN - это для криптокарты см. выше
permit ip host MY.HOST host OP.HOST
deny   ip any any
!
ip access-list extended locallan эот для ната в инет
deny   ip host 172.31.255.130 host OP.HOST - запрет
deny   ip host MY.HOST host OP.HOST -запрет
permit ip 172.31.255.128 0.0.0.15 any
deny   ip any any
!

собственно вопрос, подскажите, каким образом отправить пакеты конвертированные из 172,31,255,130 в MY.HOST  в туннель по направлению к OP.HOST ????

PS: Очень нужно ..горю :(