Un error de configuración da como resultado que el problema "no se puede crear una conexión VPN" forma a los clientes.
The port Ethernet0/0/8 has NAT outbound to all IP, then the traffic（ip source 192.168.a.b 0.0.0.7 destination 192.168.c.0 0.0.0.255）
No se puede transferir al túnel de IPsec para que su dirección IP también se haya traducido y no pueda coincidir con el ACL 3999.
interface Ethernet0/0/8
tcp adjust-mss 1460
ip address x.y.24.219 255.255.255.248
ipsec policy branch_vpn
nat outbound 2999
El tráfico debe ser transferido al túnel IPsec:
acl name b_Ethernet0/0/8_1 3999
rule 5 permit ip source 192.168.a.b 0.0.0.7 destination 192.168.c.0 0.0.0.255
Solución:
Modify ACL 2999:
acl name Ethernet0/0/8 3001
rule 5 deny ip source 192.168.a.b 0.0.0.7 destination 192.168.c.0 0.0.0.255
//exclude the traffic should be transferred to IPsec tunnel
rule 10 permit ip
interface Ethernet0/0/8
nat outbound 3001
