Nuevo servidor miembro junto con SBS2003

Hola.

Tengo que realizar una instalacion de un nuevo servidor miembro w2003 en
un
dominio que esta gestionado por SBS2003.
El nuevo servidor debe encargarse de accesos VPN y RRAS para poder usar
algunas apliacaciones mediante T. S. en Appmode (modo aplicacion) desde
ubicaciones externas (Internet).

La topologia actual de la red local seria algo así:

((Internet))->RouterADSL/NAT->SBS2003standard(ICF
Basic)-->HUB->LAN interna (6 máquinas cliente)

Las questiones son:

Como seria la topologia de red correcta para interconectar el nuevo
servidor
y dar servicio T.S. RRAS (mediante VPN si es correcto), teniendo en cuenta
la
seguridad, etc...?.

Como puedo conseguir mantener todos los servicios remotos del SBS
(Administracion remota con T.S., etc...) teniendo en cuenta la
configuracion
actual del NAT del Router y además poder "llegar" al nuevo servidor RRAS
(habia pensado en usar VPN para poder acceder a sus servcios de T.S.,
porque
así creo que necesitaré abrir nuevos puertos en el NAT (1723 creo) que no
afectan a los actuales configurados del SBS ) ?

Cuales son los nuevos puertos necesarios para abrirlos en el NAT y acceder
al T.S. (usando VPN tal como he dicho antes)?

Se pueden configurar los routers ADSL "normales" de Telefonica con
VPN/IPsec
(mi modelo es un Zyxel HW650)?

Cualquier otra sugerencia que se os ocurra para montar este invento, será
bienvenida.

Gracias a todos por vuestra ayuda.