两条vpn线路如何配置

我的深信服VPN设备上有两条VPN链路，一条是从分公司ipsec拨入总部的的链路（VPN1），一条是总部连接云服务器的链路（VPN2），期望的结果是是分公司的流量会经过总部的核心交换机，再通过VPN2访问云服务器，实际的情况是分公司流量直接通过VPN2出去了，在核心上无法抓到分公司的流量。请问该在VPN上如何配置？

具体架构：

总部(ip: 10.10.x.x,不含10.10.123.x)：

1. VPN设备单臂在核心上，防火墙映射端口给VPN设备，供分公司介入

2. VPN设备通过IPSec连接云服务器(IP段192.168.x.x)。

分公司（若干）（ip：10.10.123.x)：

通过IPSEC连接总部服务器

现状

1. 总部可以访问分公司，核心镜像口可以采集流量

2. 总部可以访问VPN2，核心镜像口可以采集流量

3. 分公司可以访问总部，核心镜像口可以采集流量

4. 分公司可以访问VPN2，核心镜像口无法采集流量

请问该如何配置，不胜感激。

如图所示，拓扑图是这样把？
1，逻辑上来说，分支VPN和总部VPN组建IPSec VPN隧道，则隧道出口在总部VPN，即分支访问云服务器数据一定经过核心交换机。是否确认镜像口流量包含总部VPN接口及分支公司网段？
2，假设，分支的流量到达防火墙由防火墙直接转发，则说明两条IPSec线路都位于防火墙上对接，隧道出口就在防火墙，直连路由优先级更高，只是一种假设，需确认。（因IPSec VPN数据是加密的，不存在未解密直接转发的情况）
3，在总部出口防火墙LAN口抓包，从分支测试访问VPN，看防火墙LAN口是否可以抓到包，确认数据流走向。如果可以抓到包，观察核心交换机镜像口配置。如果抓不到包，排查防火墙配置，防火墙是否配置为隧道出口。
4，如果防火墙LAN口抓不到流量，且防火墙非隧道出口，建议联系4006306430从防火墙后台查看下。