Туннель IPSEC Прозрачный режим Fortinet внутри брандмауэра Fortinet в режиме NAT не отвечает на входящий трафик

У меня есть 2 межсетевых экрана Fortine (полностью исправлены); fw1 предоставляет туннель IPSEC в прозрачном режиме. под этим брандмауэром находится fw2, брандмауэр NAT с VIP-адресом, который был подтвержден для работы. Эта конфигурация требуется для моих клиентов, которые хотят подключиться к общедоступному адресному пространству внутри туннеля, чтобы предотвратить переход в IP-пространстве. Эта конфигурация отлично работает для трафика, исходящего на удаленную сторону туннеля, но не входящего. Наблюдая за трафиком, я вижу входящий трафик, выходящий из fw1, но он никогда не виден на fw2.

Cust Net > 10.1.1.100                         
                |
                |
                |
FW1      >TRANSPARENT IPSEC
                |
                |
                |
FW2 EXT  >99.1.1.1.100-VIP
                |
FW2 NAT  >192.1.1.100-NAT