проброс порта через vpn

добрый день. такая вот головоломка.

есть 2 офиса, оба офиса подключены к интернету через ATP 500, между офисами подняn ipsec vpn. офисы находятся в разных странах, в офисе А работают пользователи, а офис Б это ЦОД в котором установлены сервера. так получилось. в офисе Б установлен Exchange и опубликован в интернет, пользователи офиса А подключаются к Exchange через vpn и все прекрасно работает. но появился один мобильный пользователь, который ездите из страны в страну и так получилось, что у него доступ к офису А есть везде, а к офису Б не из всех стран. я подумал, что можно попробовать с ATP 500 который установлен в офисе А сделать проброс 443 порта (owa Exchange) через VPN к серверу офиса Б. создал правило NAT, где указал что входящий интерфейс WAN отправляет трафик через ipsec на ip адрес сервера в офисе Б, в фаерволе трафик между ipsec естественно разрешён в обе стороны, добавил правило которое разрешает трафик из wan в ipsec, но как то не взлетело. собственно вопрос, это в принципе возможно и если да, то что я делаю не так?