Здравствуйте, уважаемые!

Есть CISCO 2611
Есть локальная сетка: 192.168.1.0 netmask 255.255.255.0
Есть два провайдера, каждый выдает пул адресов:
ISP1: 212.xxx.xxx.aaa - 212.xxx.xxx.bbb
ISP2: 195.xxx.xxx.aaa - 195.xxx.xxx.bbb

Предполагается что все пользователи локальной сетки должны ходить через ISP1. Пользователи из Интернета должны иметь возможность подключаться как через ISP1 так и через ISP2.
При падении одного из каналов все пользователи иметь возможность ходить по рабочему.

По перечисленным условиям я составил следующую конфигурацию:

interface FastEthernet0/0
ip address 192.168.1.1 255.255.255.0
ip nat inside
ip policy route-map ISP
!
interface Serial0/0
description ISP1
ip address 212.xxx.xxx.xxx 255.255.255.240 secondary
ip address 10.1.1.2 255.255.255.252
ip nat outside
!
interface Serial0/1
description ISP2
ip address 195.xxx.xxx.xxx 255.255.255.240 secondary
ip address 20.1.1.2 255.255.255.252
ip nat outside
!
!
ip nat pool ISP1 212.xxx.xxx.aaa 212.xxx.xxx.aaa netmask 255.255.255.0
ip nat pool ISP2 195.xxx.xxx.aaa 195.xxx.xxx.aaa netmask 255.255.255.0
ip nat inside source route-map ISP1-NAT pool ISP1 overload
ip nat inside source route-map ISP2-NAT pool ISP2 overload
!
ip nat inside source static tcp 192.168.1.10 80 212.xxx.xxx.xxx 80 extendable
ip nat inside source static tcp 192.168.1.10 80 195.xxx.xxx.xxx 80 extendable
!
ip route 0.0.0.0 0.0.0.0 10.1.1.1
ip route 0.0.0.0 0.0.0.0 20.1.1.1 100
!
access-list 2 permit 212.xxx.xxx.0 0.0.0.255
access-list 3 permit 195.xxx.xxx.0 0.0.0.255
!
route-map ISP permit 10
match ip address 2
set ip default next-hop 10.1.1.1
!
route-map ISP permit 20
match ip address 3
set ip default next-hop 20.1.1.1
!
route-map ISP1-NAT permit 10
match interface Serial0/0
!
route-map ISP2-NAT permit 10
match interface Serial0/1
!

Для пользователей, которые подключаются из локальной сети - всё замечательно: при падении одного из каналов идут через другой.

Но есть проблема с подключением внешних пользователей Интернета к локальной сети через ISP2, когда оба канала подняты: ping до внешнего адреса идёт (например, до 195.xxx.xxx.aaa), причём, идет весьма примечательно - в качестве ip адреса ответа указан ISP1 (212.xxx.xxx.aaa), а подключение не устанавливается.

Подскажите, что в конфиге не верно.

Заранее спасибо!