[DropALL]

ESTACAO1 - [eth-local]GW1[eth-internet] - VPN IPSEC- [eth-internet]GW1[eth-local] - ESTACAO2


Por padrao vc vai conseguir pingar so ESTACAO -> ESTACAO, pois de outra forma, o trafego irã encriptado para uma ponta, e na volta será sem encriptação, logo o firewall não aceitará a resposta, pois a ida e volta tem que ser todo pelo tunel ou todo fora dele.

O que também deve dar certo é pingar por exemplo: ESTACAO1 -> GW1[eth-local]

Agora tem como "enrolar", usando no comando ping, o parametro "-I"
que voce pode atribuir o ip de saida do pacote icmp, por exeplo:

se vc tah no GW1 e vc tem o IP 200.x.x.1 / 192.168.1.1 e quer pingar o GW 200.x.y.150 / 192.168.2.1

faria:
# ping 192.168.2.1 -I 192.168.1.1 (caso contrario o ping sairia com o IP 200.x.x.1 para dentro do tunnel para a rede 192.168.2.x, e a volta seria fora do tunnel, e vc nao receberia a resposta.)


Tentae.