devi rivedere un po' di cose.
comunque sarebbe meglio che tu assegnassi alle wan dei due firewall direttamente gli ip pubblici (se hai un solo IP pubblico allora imposta i router come bridge).
se vuoi fare nat-traversal, allora dovrai girare almeno queste porte:
5000 udp per IKE e 500 udp per Ipsec (perņ verifica nella documentazione zyxel).
I pc devono navigare dietro al firewall (subnet diversa nei due rami, ma il wizard dello zyxel non ti permetterebbe di sbagliare).
(verifica i log sui firewall.. se non va č possibile che tu debba controllare le acl sul router cisco per permettere per esempio il traffico "gre")
ps: la subnet della "filiale" mi sa di sbagliatissima
usa al massimo 255.255.255.0