VPN dietro Router

[Grumpos]

Ciao a tutti,
ho una situazione del genere:

ADLS -> ROUTER (CISCO) -> CISCO SA 540 -> SWITCH -> LAN-PC+SERVER
192.168.3.0 192.168.2.0

DAto che vorrei che solo alcuni ip esterni possano accedere al server, ho pensato di fare un a vpn (il sa 540 come server vpn, visto che lo permette).
Ho seguito una guida cisco per configurare il server vpn, ma adesso mi chiedo?
Bisogna fare il port forwarding sul router, per il tunneling?
I client vpn su che indirizzo di rete locale avranno, .3.0 o .2.0?

Grazie.