Cisco ASA 5505. VPN site a site na interface de backup

Question

Eu tenho o Cisco ASA 5505 8.2 (5) - ASA_1 no escritório principal configurado com três interfaces:
fora - aaa.aaa.aaa.aaa
backup - bbb.bbb.bbb.bbb
dentro - 192.168.10.1
Alternar entre o exterior e o backup é configurado com o monitor sla e rastreia:

sla monitor 1  
 type echo protocol ipIcmpEcho 212.116.103.121 interface outside  
 num-packets 3  
 frequency 10  
sla monitor schedule 1 life forever start-time now  
!  
track 1 rtr 1 reachability  
!  
route outside 0.0.0.0 0.0.0.0 aaa.aaa.aaa.121 1 track 1  
route backup 0.0.0.0 0.0.0.0 bbb.bbb.bbb.65 10  
route inside 0.0.0.0 0.0.0.0 192.168.10.1 tunneled  

E o mesmo ASA_2 no escritório remoto com duas interfaces:
fora - ccc.ccc.ccc.ccc
dentro - 192.168.2.1
Eu construí o túnel VPN entre eles. Quando a interface externa em ASA_1 está inativa, o tráfego passa pela interface de backup. Mas neste caso meu túnel desce.
Eu adicionei crypto map à interface de backup:

crypto map vpdn 1 match address outside_1_cryptomap  
crypto map vpdn 1 set pfs group1  
crypto map vpdn 1 set peer ccc.ccc.ccc.ccc  
crypto map vpdn 1 set transform-set ESP-DES-SHA  
crypto map vpdn 10 ipsec-isakmp dynamic vpdn-map  
crypto map vpdn interface outside  
crypto map vpdn interface backup

e configurou o segundo túnel em ASA_2 (com backup ip como peer):

crypto map outside_map 1 match address outside_1_cryptomap  
crypto map outside_map 1 set pfs group1  
crypto map outside_map 1 set peer aaa.aaa.aaa.aaa  
crypto map outside_map 1 set transform-set ESP-DES-SHA  
crypto map outside_map 2 match address outside_1_cryptomap  
crypto map outside_map 2 set pfs group1  
crypto map outside_map 2 set peer bbb.bbb.bbb.bbb  
crypto map outside_map 2 set transform-set ESP-DES-SHA  
crypto map outside_map interface outside  

como você pode ver, ambos os mapas criptográficos usam o mesmo acl.
Mas quando desligo a interface externa, o rastreador de pacotes em ASA_1 (da LAN principal para o remoto) exibe o seguinte:

...  
Phase: 11  
Type: VPN  
Subtype: encrypt  
Result: DROP  
Config:  
Additional Information:  
 Forward Flow based lookup yields rule:  
 out id=0xd8e3d950, priority=70, domain=encrypt, deny=false  
        hits=0, user_data=0x0, cs_id=0xd8e99c80, reverse, flags=0x0, protocol=0  
        src ip=192.168.10.0, mask=255.255.255.0, port=0  
        dst ip=dop-off1, mask=255.255.255.0, port=0, dscp=0x0

Result:  
input-interface: inside  
input-status: up  
input-line-status: up  
output-interface: inside  
output-status: up  
output-line-status: up  
Action: drop  
Drop-reason: (acl-drop) Flow is denied by configured rule  

E o mesmo em ASA_2 (da LAN remota para a principal)
saída sh isakmp no ASA_1 quando a interface externa está ativa:

Active SA: 1  
    Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)  
Total IKE SA: 1

1   IKE Peer: ccc.ccc.ccc.ccc  
    Type    : L2L             Role    : initiator  
    Rekey   : no              State   : MM_ACTIVE  

quando a parte externa está desativada sh isakmp não mostra nenhum túnel.
sh isakmp output em ASA_2 quando a interface externa em ASA_1 está ativa ou está desativada:

Active SA: 1  
    Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)  
Total IKE SA: 1

1   IKE Peer: aaa.aaa.aaa.aaa  
    Type    : L2L             Role    : initiator  
    Rekey   : no              State   : MM_ACTIVE  

Como posso resolver este problema?

P.S. Desculpe pelo meu inglês, eu sou da Rússia)