Маршрутизация SSH во внутреннюю виртуальную сеть через маршрутизатор centos7 vm

Попытка направить ssh-трафик на серверы vm в изолированной сети на хосте centos7 KVM. Может пинговать с любой стороны, но время ожидания ssh истекает.

Я подключился к домашнему роутеру с работы через vpn.

У меня есть статический маршрут к внешнему интерфейсу на маршрутизаторе centos7 vm (правильно работает с переадресацией ip и т. д.).

Внутренний сервер vm, anohter centos7 может обновляться из Интернета и клиентов ping lan и наоборот

Когда я пытаюсь подключиться по ssh к внутренней виртуальной машине с рабочего компьютера, время ожидания истекает. В firewalld как на виртуальном маршрутизаторе (внутренний и внешний интерфейсы), так и на внутреннем сервере включен ssh в службах

Настроить:
домашний маршрут
10.0.1.2 - vpn клиент
10.0.0.20 - ext if vm router
10.0.10.2 - int, если маршрутизатор vm
10.0.10.10 - внутренний сервер centos7

Конфигурация VPN:
нажмите "маршрут 10.0.1.0 255.255.255.0"
нажмите "dhcp-option DNS 8.8.8.8"
нажмите "redirect-gateway def1"

Я буду добавлять больше серверов в эту внутреннюю сеть, поэтому я не хочу просто перенаправлять порт 22 на 10.0.10.10, мне нужно, чтобы он был перенаправлен на 10.0.10. *, при этом сохраняя возможность управления маршрутизатором vm через ssh на внешний ip.

Я могу ssh на сервер (10.0.10.10) из сетей 10.0.0.0 и 10.0.10.0

Надеюсь, это имеет смысл. Это домашняя тестовая лаборатория.

вывод iptables