[borodavkin]

Как решить эту проблему не прибегая к вненему фаэрволлу?

Сложно понять ваш вопрос. Что такое внешний фаэрволл? Вы хотите отказаться от брандмауэра?

Я когда-то давно решал такую проблему, так что попробую что-нибудь посоветовать:

Если в RRAS в разделе "NAT/Простой брандмауэр" для локального интерфейса включить "Простой брандмауэр" (или даже нужно "Основной брандмауэр" без NAT включить), то ваша проблема будет решена путём открытия в брандмауэре порта для входящих VPN подключений (TCP 1723 это VPN по протоколу PPTP).

Если брандмауэр не включать, то можно попробовать настроить для локального интерфейса "Фильтры входа" , основываясь на том, что ваша сеть НЕ-VPN имеет одни адреса (например, 192.168.100.0), а сеть VPN имеет другие адреса (например, 192.168.200.0). Таким образом, нужно разрешить запросы от компьютеров 192.168.100.0 только к адресу вашего VPN-сервера. В итоге, создать VPN подключение к серверу вы сможете, но любые запросы сквозь сервер будут отбрасываться. А от адресов 192.168.200.0 информационный обмен будет без ограничений. Следовательно, ваша проблема будет решена.

А ещё можно в RRAS в разделе "Общие" для локального интерфейса просто убрать в свойствах галочку "Включить диспетчер IP-маршрутизации" (а то и вообще удалить всё сетевое подключение). Тогда для VPN соединений будет включена маршрутизация, а для сети, из которой эти VPN подключения создаются, маршрутизация будет отключена.

Я не специалист, так что простите, если неправильно насоветовал.