Добрый день.
Прошу помощи в реализации следующего. Голову сломал уже.

Настройки ASA:

interface Ethernet0/1
description ---LAN---
nameif inside
security-level 100
ip address 172.16.2.1 255.255.255.252
  
interface Ethernet0/3
description === Main ISP ===
nameif outside
security-level 0
ip address 90.90.90.90 255.255.255.0
  
nat (inside,outside) source static inside-network inside-network destination static AC_Network AC_Network
object network inside-network
subnet 172.16.2.0 255.255.255.252
object network AC_Network
subnet 192.168.1.0 255.255.255.0
  
access-list t_office extended permit ip object inside-network object AC_Network

crypto ikev1 enable outside
crypto ikev1 am-disable
crypto ikev1 policy 10
authentication pre-share
encryption aes
hash sha
group 2
lifetime 86400
  
tunnel-group 100.100.100.100 type ipsec-l2l
tunnel-group 100.100.100.100 ipsec-attributes
ikev1 pre-shared-key *****
  
crypto ipsec ikev1 transform-set ESP-AES-128-SHA esp-aes esp-sha-hmac
  
crypto map t_office_map 1 match address t_office
crypto map t_office_map 1 set pfs
crypto map t_office_map 1 set peer 100.100.100.100
crypto map t_office_map 1 set ikev1 transform-set t_office
crypto map t_office_map 1 set reverse-route
crypto map t_office_map interface outside

Тунель поднимается сразу, проходит обе стадии влет.
С asa пингую 192.168.1.1 inside интерфейс - отлично.
С TMG 172.16.2.2 192.168.1.1 не пингуется...
Весь интернет трафик со всех сетей по умолчанию идет на TMG а потом на ASA.
Из nat трансляции на ASA подсеть 192.168.1.0/24 исключил.
TMG сеть 192.168.1.1 не видит в упор.
прописал на TMG маршрут 192.168.1.0/24 на 172.16.2.1 - не помогает.
Трафик в vpn не попадает.
Куда еще покопать?

на моей стороне:
TMG - 172.16.2.2
ASA - внутр. 172.16.2.1 внеш. 90.90.90.90

на стороне облачного хостера.
шлюз неизвестный внеш. - 100.100.100.100, внутр. - 192.168.1.1 сетка 192.168.1.0/24