Коллеги, добрый день!

Попросили настроить серверное оборудование в новом офисе, дополнительно к оборудованию шли ASA5525 и Catalyst 2960.
Сейчас интернет приходит через мобильный WiFi 4G-роутер, все внутренние интерфейсы в режиме моста, включая wlan, сетка 192.168.1.0/24.
В один из lan портов была воткнута ASA, на ней был настроен интерфейс gi0/0 outside с адресом 192.168.1.10 и security level 0
Также на ней были настроены vlan11 (10.0.11.1) и 15 (10.0.15.1) на порту g0/1
За асой есть коммутатор 2960 на вход транковый порт для vlan11,15. Настроены vlan интерфейсы. К коммутатору через транковый порт подключен гипервизор где логически виртуальные машины разделены на vlan11,15 аналогично.

На ASA настроен динамический NAT - интернет на виртуальных машинах есть
На 4G роутере настроен статический маршрут в 10.0.0.0/16 через 192.168.1.10
На ASA настроен статический NAT, который транслирует сеть 10.0.15.0/24 и 10.0.11.0/24

Прикрепил схему для наглядности (строго не судите, редко приходится это делать)

Проблема: с машин 192.168.1.0/24 идут пинги на 10.0.15.0/24, но остальные пакеты не проходят. ACL для отладки any any permit
Всю голову сломал, не понимаю почему. Что мог забыть?