exchange не приходят письма через VPN

[tremor]

Здравствуйте. Настроил непростой маршрут до почты провайдера (exchange) через 2 шлюза, и не могу получить почту (отправка идет)
Схема примерно следующая. есть 2 офиса связанные по ВПН друг с другом (vtun). Шлюз А - в главном офисе, у него 3 сетевые. 1 - в локалку - 2 во внеху и 3 - в почту второго провайдера. exchange в главном офисе работает через 3 сетевую, все в ажуре. Настроено это с помощью маршрутов типа ххх.ххх.ххх.ххх/хх via "адрес_шлюза_почтового_прова" dev eth3. ххх сеть - сеть где находится почтовый пров. Тоесть с локалки весь трафик - во внеху через eth2 а все что в ххх сеть - через eth3 - и все работает апсолютно прозрачно. Но захотели так же сделать во втором офисе (Шлюз Б - соединенный со шлюзом А через впн канал).
Я сделал следующее: Добавил на шлюзе Б маршрут ххх.ххх.ххх.ххх/хх via 192.168.140.1 dev tun0 scope link - тоесть все что в почтовую подсеть второго прова - направить на Шлюз А через впн туннель (во внутрисети предприятия тоесть, которая бесплатная и безопаснее интернета), на шлюзе А тем временем в iptables добавил такую строку:
iptables -A POSTROUTING -t nat -s ууу.ууу.ууу.ууу/уу -d ххх.ххх.ххх.ххх/хх -j SNAT --to-source "адрес_шлюза_почтового_прова" - на уровне пингов и трэйсроута все на клиенте в удаленном офисе заработало, почта отправляется, пару раз принялась и больше не принимается. По портам пока не разграничивал, причем не работает даже при полном ACCEPT на обоих шлюзах. (INPUT,OUTPUT,FORWARD). Грешу на заруб определенного траффика через ВПН туннели, не пропускают они чегото видимо. Еще при трейсроуте Шлюз А и Шлюз Б часто показываются звездочками, все что дальше шлюзов - 3 компа в сетях прова - все чисто видно. Эксчейндж настроен не на поп и не на смтп а на "эксчейндж" с чем я раньше не работал. Навскидку в гугле не нашел как он работает, но все порты открыты все равно, дело в маршруте. Где может быть затык?

[sash-kan]

Добавил на шлюзе Б маршрут ххх.ххх.ххх.ххх/хх via 192.168.140.1 dev tun0 scope link

я, конечно, не дока в этих делах. но, по-моему, scope в этом случае должен быть отнюдь не link, а global.

а вообще по теме: попробуйте просто telnet-ом подключиться и скачать какое-нибудь письмо. скорее всего, какие-нибудь ответы сервера до клиента не дойдут. вот и отследите на всех точках прохождения, где именно они «рубятся».