VPN с сайта на сайт - Openswan и CISCO A2A

Question

Ниже приведена схема VPN-соединения между сервером Openswan и CISCO A2A.

клиент A и B являются удаленными хостами со статическим ips. клиент X и Y находятся за брандмауэром Cisco.

Я вижу STATE_QUICK_I2: отправлен QI2, IPsec SA установил туннельный режим в журнале. Итак, туннель между openswan и cisco запущен и работает. Но я не могу даже пинговать клиента X из VPN1.

1. Как настроить клиент A для маршрутизации трафика на клиент X через VPN1?
2. VPN1 приемлемые правила для перехвата трафика, поступающего от клиента A, а затем пересылать в CICSO?

Вот мой ipsec.conf

conn Linux-to-CISCO
    type= tunnel
    authby= secret
    left= <Openswan IP>
    leftsubnets= { client A/32 client B/32}
    right= <CisCo IP>
    rightsubnets= { client X/32 client Y/32 }
    esp= aes256-sha1
    keyexchange= ike
    pfs= no
    auto= start