Маршрутизация на AWS OpenVPN с несколькими VPC + ClassicLink

У меня возникают проблемы с подключением между серверами в многорегиональной сети, которую я настраиваю в AWS, так как не все серверы доступны из любой точки сети.

Я подключаю VPC (A) в eu-central-1 к другому (B) в eu-southeast-1 через туннель openvpn, причем второй VPC подключается через ClassicLink к узлам EC2-Classic (EC2). Это соединение осуществляется через пару пиринговых серверов: peering-a в VPC A и peering-b в VPC B. Пользователи подключаются через openvpn к VPC A через openvpn server vpnserver-a.

Схема сети такая:

+---------+   +---------+   +---------+   +----+
|user     |   |VPC A    |   |VPC B    |   |EC2 |
|172.20/16+---+172.29/16+---+172.31/16+---+10/8|
+---------+   +---------+   +---------+   +----+
           VPN           VPN       ClassicLink

Проблема в том, что я не могу установить ни одну из этих связей:

• пользователь к любому узлу в EC2
• любой узел в VPC A на любой узел в EC2
• с любого узла в EC2 на любой узел в VPC A

Подключения пользователя к VPC A и B, а также между VPC A и B работают нормально.

Я подозреваю, что есть проблема с маршрутизацией, но мне не удалось ее решить.

Маршрутизация настроена так:

• vpnserver-a публикует маршруты 172.29 / 16, 172.31 / 16 и 10/8 пользователю (файл конфигурации openvpn)
• peering-a публикует маршруты 172.31 / 16 и 10/8 к VPC A (файл конфигурации openvpn)
• peering-b публикует маршруты 172.29 / 16 и 172.20 / 16 к VPC B (файл конфигурации openvpn)
• таблица маршрутов в VPC A направляет 172.31 / 16 и 10/8 к одноранговому узлу (таблица маршрутизации подсети AWS VPC)
• таблица маршрутов в VPC B: маршруты 172.29 / 16 и 172.20 / 16 к peering-b (таблица маршрутизации подсети AWS VPC)

Сетевые ACL открыты для всего трафика между этими подсетями. Группы безопасности также настроены для приема подключений.

Я провел некоторую (базовую) проверку пакетов с помощью tcpdump, чтобы попытаться понять, работают ли маршруты со следующими результатами: - Попытка подключиться от узла-a в VPC A к узлу-ec2 в EC2, я вижу пакеты, проходящие через пиринг-a и peering-b, но не доходит до node-ec2 - пытаясь подключиться с node-ec2 к node-a, я даже не вижу пакетов, достигающих peering-b

Поэтому я подозреваю, что маршрутизация в ClassicLink требует дополнительной настройки, о которой я не знаю.

Как я могу настроить недостающие маршруты? Это вообще возможно?

Спасибо!