网络工程 - 带/不带 NAT 的 IPSec 站点到站点 - 吾爱随笔录

我正在通过 IPSec 将我的办公室连接到客户的网络。我需要直接连接到他们网络上的内部 IP；他们不需要连接到我内部网络上的任何服务。我宁愿不向对方透露我的办公网络，建议使用 NAT。（所有IP都是假的。）

     -----------
  --/           \--          +--------------+
 /                 \     /---+              |
(   11.11.11.0/16   )----    | 11.11.11.1   |
 \                 /         +------==------+
  --\           /--              === 
     -----------              ===             MY OFFICE
     CLIENT        Internet ==              -----------
                         ===             --/           \--
                      ===               /                 \
             +------==-------+      /--(    10.1.1.0/24    )
             |               |  /---    \                 /
             | 22.22.22.1/30 +--  NAT    --\           /--
             +---------------+              -----------

为此，似乎我可以从（比如）10.1.1.23 连接到 11.11.11.45，但仍然是“11”。网络看到来自 22.22.22.1 的所有连接。我有一个单地址静态子网 (22.22.22.1/30)，所以我相信我可以将我的加密域设置为 22.22.22.0/30 并在我端使用 NAT。（远端没有使用 NAT。）

我从https://networkengineering.stackexchange.com/a/45107/43748 的理解是 NAT 对它有轻微的惩罚（并不奇怪），但它并没有说它不能完成。https://networkengineering.stackexchange.com/a/41503建议 NAT 可用于解决子网范围重叠的问题。两者（和其他人）都告诉我站点到站点配置中的 NAT 可以正常工作。

但是远程管理员“坚持”他们必须知道我的办公室内部子网才能正常运行。我认为他们需要知道我的加密域是 22.22.22.0/30，加密网关 22.22.22.1，没有定义内部网络。

我对这个网络拓扑有什么误解？

（具体型号，如果重要的话：我的端 CheckPoint-790；远程端是 Cisco ASA 或 SonicWall，具体取决于客户端。）