[FRsAG] double firewall et vpn

Bonjour à vous!

Voilà, pour diverses raisons, je monte une architecture avec double firewall enchaîné. Donc :

Internet -- (FW1) -- DMZ -- (FW2) -- LAN

En réalité FW1 est physique et FW2 est virtualisé. Je ne peux pas actuellement avoir le LAN directement derrière FW1.

Ma question est donc : Quelle serait la bonne pratique pour accéder au LAN depuis l'extérieur ? - VPN sur FW1 et automatiquement trusté par FW2 - VPN sur FW1 puis sur FW2...

Merci d'avance Manu