Добавляем к ниже описанному Site To Site туннелю Remote access туннель

Включаем в список доступа NONATACL (адреса которые не надо натить) адреса клиентов
access-list NONATACL extended permit ip 192.168.1.0 255.255.255.0 192.168.20.0 255.255.255.0

Создаем список доступа для расщепленного роутинга (чтоб интернет был локальный)
access-list SPLITACL standard permit 192.168.1.0 255.255.255.0

Создаем пул адресов для клиентов
ip local pool VPN_RA_POOL 192.168.20.2-192.168.20.10 mask 255.255.255.0

Опишем вторую фазу
crypto ipsec transform-set DTSET esp-3des esp-md5-hmac

Создаем динамическую крипто карту
crypto dynamic-map DMAP 10 set transform-set DTSET
crypto dynamic-map DMAP 10 set reverse-route

Подключем ее к существующей статической карте
crypto map SMAP 100 ipsec-isakmp dynamic DMAP

Опишем групповую политику
group-policy REMACCESS_P internal
group-policy REMACCESS_P attributes
vpn-tunnel-protocol IPSec
password-storage enable
split-tunnel-policy tunnelspecified
split-tunnel-network-list value SPLITACL

Теперь создадим тунельную группу
tunnel-group REMACCESS type remote-access
tunnel-group REMACCESS general-attributes
address-pool VPN_RA_POOL
default-group-policy REMACCESS_P
tunnel-group REMACCESS ipsec-attributes
pre-shared-key testkey1

Ну и пользователя и пароль
username USER1 password PASSWORD1

Должно работать