Добрый день, многоуважаемый All.

Необходимо включить несколько 871 цисок через интернет. Для этого на двух рутерах в центре подняты туннели DMVPN и к ним цепляются заначенные spoke-точки (т.е. на каждом споке поднято 2 туннеля в центр + оспф). В принципе схема и конфиг отработаны на провайдерских IP VPN'ах, отличия проблемного включения - нат и произвольно включенный интернет.

конфиг на на хабах абсолютно идентичен (проверено построчно, разница только в адресах) и выглядит так:
interface Tunnel2
ip address 192.168.0.1 255.255.255.128
no ip redirects
ip mtu 1400
ip nhrp authentication ZZZ
ip nhrp map multicast dynamic
ip nhrp network-id 1
ip virtual-reassembly
ip tcp adjust-mss 1460
ip ospf network broadcast
ip ospf priority 3
tunnel source X.X.X.X
tunnel mode gre multipoint
tunnel key 1000
tunnel protection ipsec profile PROFILE

Туннели на споках так же настроены одинаково:
interface Tunnel0
ip address 192.168.0.7 255.255.255.128
ip mtu 1400
ip nhrp authentication ZZZ
ip nhrp map 192.168.0.1 X.X.X.X
ip nhrp network-id 1
ip nhrp nhs 192.168.0.1
ip virtual-reassembly
ip ospf network broadcast
ip ospf priority 0
tunnel source Fa4
tunnel destination X.X.X.X
tunnel key 1000
tunnel protection ipsec profile PROFILE

Если бы оно вообще не работало - было бы еще не плохо... )) но туннели на один из цетральных рутеров поднимаются влет, а вот на второй категорически на желают. и с рутингом/фаерволом это никак не связано: если убрать с интерфейсов проблемного туннеля крипто-профиль, то на центральном рутере по sh ip nhrp br появляется вот такая вот запись:
   Target             Via            NBMA           Mode   Intfc   Claimed
192.168.0.7/32    192.168.0.7       Y.Y.Y.Y        dynamic  Tu2     10.0.0.A
где 10.0.0.A - фактический адрес 871 циски в локалке за натом, а Y.Y.Y.Y - внешний адрес, которым она натится. При этом пинги не ходят, ospf не срастается.

На втором рутере записи выглядят немного иначе:
192.168.0.135/32  192.168.0.135  10.0.0.А       dynamic  Tu2     <   >

Почему может возникать такая фигня? Куда смотреть? Спасибо.