[kim-aa]

Вариант 1: Изучите по какому протоколу вы собственно собираетесь организовывать VPN (PPTP или IPSec). Изучите настройки Kerio. Очень важна версия Kerio.
поищите поиском по сайту, помню кто-то уже Kerio & PPTP пытался срастить http://forum.oszone.net/thread-68482.html
(Только старый Kerio не умеет работать с GRE по моему)

Вариант 2: получаете 2й внешний IP (Можно и не внешний, лишь бы удаленный офис увидел). Присваиваете его внешнему интерфейсу фаервола ЦО (центрального офиса).
Настраиваете на фаерволе ЦО address (IP) maping, т.е. когда все пакеты приходящие на данный IP (вне зависимости от протокола 4-го уровня) транслируются на внутренний IP.
Других вариантов борьбы с фаерволами которые не умеют работать с необходимым протоколом 4-го уровня, я не знаю