Hallo Jochen,
ich kann Dir zwar keine Lösung direkt anbieten, aber ich habe gerade einen ähnliche Fall vor der Brust:
VPN (Cisco) ins Kundennetz, über Scalance S602 und NAT ins Maschinennetz
Vorgabe durch den Kunden (beispielhaft für eine von mehreren CPUs): maschineninterne IP-Adresse 172.31.4.20, S602-NAT auf 10.88.61.20 im Kundennetz
Ich habe mittlerweile einen SupportRequest bei Siemens am Laufen; nach dessen Maßgabe habe ich mithilfe des Konfigurationstools mehrere Double-NAT-Regeln implementiert, mit dem Ergebnis, dass zwar augenscheinlich ein Ping auf die entsprechenden Devices funktioniert, jedoch der Simatic Manager nicht zugreifen kann (Wobei nicht mal der Siemens-Support genau weiß, wer den Ping eigentlich beantwortet: das jeweilige Device oder der S602 selbst...).
Ich bleibe dran und werde berichten.
Gruß, Fred