Astaro behind Router VPN IPSEC

It looks like both router VPN endpoints are public IPs, so that eliminates one possible problem.

No routing or NAT is required.  The key is confirming that the network containing "Me" is a part of the VPN tunnel.  If the network containing "Me" is masqueraded by the firewall, you don't need to do anything.  Otherwise, ...

On the Customer's router, make sure that the network containing "Me" is configured in Remote Networks.  On your side, make sure that the network containing "Me" is in Local Networks.

Cheers - Bob

if i want to use vpn at internal network behind asg.
How to set up?

I use DNAT from me(public ip) to internal network and set policy(any ==> any==>internal).
It's correct?

Putting an IPsec endpoint behind a NATting router causes problems.  Your best, and most-secure, choice is to configure SSL VPN Remote Access for yourself at the customer sites.

Cheers - Bob