"Ходить" можно. Как
Дмитрий Филимонов указал, что IP для двух сторон известны, они находят либо в одной подсети, либо между ними настраивается роутинг. В данном случает клиент есть инициатор соединения. Без его ведома сервер не может к нему обратиться, соответственно, тут уже надо обращаться к межсетевому экрану (firewall) клиента. Вероятно, там запрещены установления новых соединений с адресов, отличных от localhost. Таким образом, все сводится к добавлению правил в МСЭ для установления новых соединений со стороны сервера на определенные порты (например, 80 или 22) внутри VPN-туннеля.