díky za reakci.

to mi tedy není jasné

domníval jsem se, že pokud nastavim DMZ tak se směřuje veškerý provoz na to konkrétní zařízení za NATEM a pak už portforward není vůbec třeba, ne?

na svém jiném modem/routeru (ASUS), kde mi to funguje dobře
jsem nastavil L2TP PASS YES, IPSEC PASS YES
DMZ jsem nechal prázdné
portforward jsem povolil 500 a 4500
a takto to funguje

ale na tom ZYXELU nemůžu najít tu volbu L2TP PASS