Rules for VPN Traffic

hello

I have read the docs and have read me through the forum but still there are some questions about how to setup a Host to Net VPN:

Situation:
Cisco Router--->Astaro Firewall--->Internal Net (no dmz)

Cisco Router external IP: 212.33.24.66
Cisco Router internal IP: 192.168.254.1
Astaro "external" IP: 192.168.254.2
Astaro internal IP: 10.10.20.1

Now i need to setup a VPN for home dsl users with dynamic IP's. As VPN client i want PGPNET 7.0.4

So there are 2 questions i got:

What kind of Packet filter rules i have to set up? I have read in a example in the docs that they use 

1)ANY-->ANY-->INTERNAL
2)INTERNAL-->ANY-->ANY

But with this rules everything is open which is not the best thing for me. Which single ports do i have do allow for VPN? I don't want to have any services accessible..

And do i have to make a Masquerading from Astaro External to Astaro Internal to make it possible that vpn users can access the internal net?

kind regards and thx for advices

This thread was automatically locked due to age.