[VladDV]

На рисунке 1 изображено, что VPN концентратор находится в отдельном сегменте 3-го уровня (сети). »

Это я понял. Просто думал, что адреса там нужно задавать такие же, как в локальной сети. Теперь вроде ясно, что достаточно поиграться с маршрутами, чтоб все заработало. Думаю, чтобы лучше понять, нужно попробовать. Завтра на работе разверну виртуалки по такой схеме и проверю, если что-то непонятно, то сразу всплывет
В роли VPN концентратора все таки использую Debian, т.к. в филлиалах планирую его и как шлюз использовать (разделять VPN и шлюз в филлиалах не вижу особой надобности). Как что-то получится/не получится - отпишусь. Если кому-то это интересно, могут потом выложить сюда все конфиги, вдруг кому еще пригодится.

Кстати, если нет требований, что весь филиал должен ходить в центральный офис, то можно использовать стандартного VPN-клиента на рабочей станции. Соответственно у вы можете не мучатся, а просто коннектить Windows c ISA »

Такое требование обязательное. Ради этого все и делается