Добрый день.
По идее конфигурация на вскидку правильная. Посмотрите, трафик от клиентов попадает в туннели в офис (можно глянуть через счетчики)? Если нет, попробуйте:

same-security-traffic permit intra-interface

Если трафик идет только в одну сторону, давайте сравним access-list`ы на ASA и в офисах.
Так же, в таких случаях помогает дебаг с помощью команды:

packet-tracer