NAT con ISA 2004

Las DNS en la PC cliente es la IP del PDC, igual que en la PC donde yo navego OK por NAT (tenemos un server provisiorio)

tenes un server de dns en el pdc ? reenvia consultas dns?

Asi es

A ver si puedo ayudar. Las reglas de red por defecto en ISA Server 2004 ya vienen configuradas de manera que los clientes de la red interna puedan hacer NAT hacia internet. Lo que hay que configurar es una regla de acceso que permita a los clientes de la red interna salir hacia internet a traves de los protocolos que quieras que usen. Podes en un principio crear una regla que permita todos los protocolos de interna a externa, y con eso ISA Server ya te va a dejar salir por NAT.
El paso siguiente seria configurar a los clientes como Secure NAT, para lo cual tenes que asegurarte dos cosas. Primero que la puerta de enlace de los clientes apunte a la placa de la red interna del ISA (siempre y cuando tengas una sola subred interna), y segundo, que los clientes internos puedan resolver nombres DNS de internet. Por lo que decis, este ultimo pareceria ser tu problema, ya que cuando configuras los clientes como WEB Proxy decis que podes navegar, y en ese caso, los clientes no resuelven nombres de internet por ellos mismos, sino que le dejan ese trabajo al ISA Server.
Me animaria a decir que tenes configurada la placa externa de tu ISA Server con los DNS de tu proveedor de internet (configuracion que no es la recomendada) y por eso es que el ISA si puede resolver nombres.
Solucion: Configurar un DNS interno para que utilice reenviadores (forwarders) hacia los DNS de tu proveedor de internet para podes resolver nombres externos. Hacer que todos los clientes, incluso la placa de red interna del ISA apunten a ese DNS y dejar la placa externa del ISA solamente con IP, SM y DG (Los DNS de esta placa quedan en blanco)
Saludos y suerte

Revivo el tema ya que nunca lo pude configurar, lo que estamos usando hasta ahora es una VM que hace de "NAT" tomando con una placa de red internet y compartiendola por la otra.
Estoy buscando salir a internet sin pasar por el proxy, protegido por el ISA, se entiende?