Здравствуйте.
Спасибо всем за советы! Разобрался. Тему можно закрыть.

Еще раз повторюсь, нужно было реализовать второй Cryptomap, и чтоб в нем  использовался (YY.YY.YY.YY) - отличный от первого Cryptomap IP-адрес источника.

После более внимательного тестирования, оказалось, что самая первая схема, описанная в начале РАБОТАЕТ, и даже если NAT на этом же маршрутизаторе.
"вариант Crypto-Map на Loopback, и потом с помощью ip policy route-map REROUTE завернуть трафик через этот Loopback."

http://blog.rackrental.eu/2010/05/07/ipsec-site-to-site-vpn-.../

Только пару замечаний:
1) вместо "set interface Loopback3" использовать "set default interface Loopback3"
2) Если на этом же маршрутизаторе настроен еще и NAT (ip nat inside source), то заворачивать на Loopback3 нужно трафик до NAT.
А в IPSEC уже указывать NAT-IP. У меня с этим были сложности.

Вот такой конфиг, может быть кому пригодится..

crypto isakmp key TEST-IPSEC address XX.XX.XX.XX
crypto isakmp policy 20
 encr aes 256
 authentication pre-share
 group 5
 lifetime 28800
crypto ipsec transform-set AES256-SHA esp-aes 256 esp-sha-hmac 
crypto map PI-IPSEC 1 ipsec-isakmp 
 description **TEST-IPSEC**
 set peer XX.XX.XX.XX
 set transform-set AES256-SHA
 match address TEST-IPSEC
 set security-association lifetime seconds 28800
ip access-l ex TEST-IPSEC
    permit ip host <NAT-IP> host 10.4.0.7 (после NAT)
interface Loopback3
 description **for IPSEC-PI**
 ip address YY.YY.YY.YY 255.255.255.255
 ip nat outside
 ip policy route-map REROUTE
 crypto map PI-IPSEC
------NAT-------
ip access-list extended XXXX
 permit ip host 192.168.10.13 host 10.4.0.7
route-map XXXX permit 10
 match ip address XXXX
ip nat inside source static 192.168.10.13 <NAT-IP> route-map XXXX extendable
------Reroute------
ip access-list extended REROUTE
 permit ip host 192.168.10.13 host 10.4.0.7 (до NAT)
route-map REROUTE permit 6
 description **for IPSEC-PI**
 match ip address REROUTE
 set default interface Loopback3
ip local policy route-map REROUTE