Cisco PIX: Не проходит пинг в туннель

[sam_dim Профиль]

Всем доброго дня!

Есть устройство Cisco PIX 515E, версия 7.0.

На внешнем интерфейсе поднят IPSec туннель на удаленный сайт.
Через туннель работает мониторинг и обслуживание, но не идет пинг.
Все остальные пинги (из локалки, из DMZ) работают.

До Cisco PIX устанавливали IPSec туннель с удаленной циской при помощи софтверного клиента (TheGreenBow) и пинг шел, а после перехода на PIX пинг пропал. На удаленном сайте никаких изменений не делалось.

Кусок конфига ("/24" для сокращения):
--------------------------------------------
...
access-list ACL_WAN_IN extended permit icmp any any
...
access-list ACL_LAN_IN extended permit icmp any any
...
access-list ACL_IP_SEC extended permit ip 192.168.х.0/24 10.х.х.0/24
access-list ACL_IP_SEC extended permit icmp 192.168.х.0/24 10.х.х.0/24
...
access-list ACL_NO_NAT extended permit ip 192.168.х.0/24 10.х.х.0/24
access-list ACL_NO_NAT extended permit icmp 192.168.х.0/24 10.х.х.0/24
...
ip verify reverse-path interface inside
...
icmp permit any outside
icmp permit any inside
...
access-group ACL_WAN_IN in interface outside
access-group ACL_LAN_IN in interface inside
...
--------------------------------------------

Т.к. настраивалось все строго по примерам и ранее опыта настройки Cisco не было, то буду рад услышать конструктивную критику, а также возможные советы по оптимизации.

Спасибо.

[biruk Профиль]

когда настраиваешь ipsec на pix'е, то указываешь в acl какие пакеты заворачивать в туннель. Вот тот access-list и показывай.

[sam_dim Профиль]

[sam_dim Профиль]

Еще момент...
Настроил удаленный доступ к пиксу с последующим заворачиванием в существующий IPSec туннель. И вот странность: из локалки в IPSec туннель PING не идет, а при подключении к писку удаленно (Cisco VPN Client) ping на удаленный сайт (который на другой стороне IPSec туннеля) идет нормально.

Видимо мешают какие-то правила на внутреннем интерфейсе, которые не пропускают ICMP пакеты.

В конфиге есть:
icmp permit any inside

В access листе на интерфейсе ICMP разрешен.

В access листах для IPSec и NoNAT прописано
permit ICMP any any

В чем может быть дело? Или хотя бы где рыть?

Спасибо.