Kein Web und OWA - Zugriff von extern mit ISA Server 2004 auf SBS 2003 SP1

Hallo !

Ich stehe im Moment prächtig auf dem Schlauch denke ich.
Auf meinem SBS 2003 SP1 Premium mit ISA 2004 läuft alles ganz prima, die meisten Klippen habe ich mittlerweile umschifft, nur eine nicht ... ich bekomme keinen WEB- ode OWA-Zugriff von extern via Internet.

Folgende Konfiguration:

DSL Flat mit dynamischer IP, allways on
Zugang via DSL-Router
Router (192.168.1.200) und
Server WAN-NIC (192.168.1.100) im als "extern" definierten Segment;
Server LAN-Nic (192.168.0.100) im als "intern" definierten Segment.

Dyn-DNS-Account, funktioniert routergestützt oder via eigenem Service-Programm auf Server, IP wird korrekt aktualisiert;
HTTP-Zugang für Router von Port 80 auf anderen Port verlegt;
NAT auf dem Router für entsprechende Ports: 80, 443, 444, 3389, 1723, 4125 etc. auf den WAN-NIC (192.168.1.100) umgeleitet.
In das zweite (interne) Segment kann vom Router aus nicht durchgeleitet werden.

Wenn ich das richtig verstehe, besorgt genau das die ISA-Firewall mit dem WebListener, oder?
Sie horcht auf dem "extern" zugeordneten Adapter auf Clientanforderungen und leitet Sie an das definierte Ziel um, sofern Sie dem definierten Protokoll und Authentifizierung entsprechen, oder?

Wenn ich den Weblistener z.B. für den "SBS OWA Web-Publishing Rule" unmodifiziert vom Assistenten übernehme, komme ich durch den Router, allerdings lande ich wohl auf dem WAN-Adapter und werde nicht weitergeleitet auf den LAN-Adapter.
Denn ich bekomme

"Fehlercode: 403 Verboten.
Der Server hat den angegebenen URL verweigert. Wenden Sie sich an den Serveradministrator. (12202)"

Das bleibt auch so, wenn ich den WebListener genau konfiguriere, also

Netzwerk: extern ( 192.168.1.100, das ist der WAN-NIC des Servers)

und VON in der Filterregel mit 'extern' statt 'beliebig' angebe
AN bleibt in beiden Fällen 'publishing.MEINNETZWERK.local', was den LAN-NIC des Servers adressiert (192.168.0.100).

Gehe ich über HTTPS rein, wird das (lokal erstellte) Zertifikat übermittelt und dann kommt der 403er-Fehler.
Ebenso, wenn ich als Authentifizierung die integrierte Windows-Authentifizierung angebe, die auch angefordert wird, dann aber lande ich wieder bei der 403er.

Ich komme also gar nicht über den WAN-Adapter weiter ins interne Netz.

Passend dazu funktioniert der ganz normale Terminalserverzugang via Port 3389 nach Anpassung der SBS RDP Access-Rule.
Da muss ich ja auch nicht weiter, als bis auf den WAN-Adapter.

Wo liegt mein Wald begraben, den ich vor lauter Bäumen nicht sehe?

Danke für die Hilfe !!!

Gruß

Peter