Включение двунаправленного трафика через VPN с OpenVPN на AWS

Я пытаюсь настроить сервер OpenVPN с Pritunl на AWS, и у меня возникают проблемы с подключением моих узлов AWS к узлам за пределами VPC через VPN.

В основном моя установка

[ AWS Instance ] -- [ AWS OpenVpn Instance ] -- [ Local OS X Machine ]

В настоящее время трафик, исходящий от компьютера OS X, работает нормально. Я могу пинговать любой экземпляр за VPC. Однако, когда я пытаюсь выполнить эхо-запрос на локальный компьютер OS X (или, точнее, получить доступ к серверу, работающему на этом компьютере), соединение зависает.

Узлы AWS находятся в подсети 172.31.0.0/16, а компьютер OS X - в подсети 192.168.241.0/24. На машине с экземпляром OpenVpn пинг работает нормально:

ubuntu@ip-172-31-11-153:~$ ping 192.168.241.2
PING 192.168.241.2 (192.168.241.2) 56(84) bytes of data.
64 bytes from 192.168.241.2: icmp_seq=1 ttl=64 time=186 ms
64 bytes from 192.168.241.2: icmp_seq=2 ttl=64 time=170 ms

На экземпляре AWS зависает ping:

ubuntu@ip-172-31-32-5:~$ ping 192.168.241.2
PING 192.168.241.2 (192.168.241.2) 56(84) bytes of data.
^C
--- 192.168.241.2 ping statistics ---
3 packets transmitted, 0 received, 100% packet loss, time 2015ms

На машине OpenVPN, используя tcpdump, я вижу, что пакеты доходят до машины, однако ответ никогда не отправляется.

ubuntu@ip-172-31-11-153:~$ sudo tcpdump -i any -n icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes
02:04:32.706204 IP 172.31.32.5 > 192.168.241.2: ICMP echo request, id 31959, seq 1, length 64
02:04:33.705490 IP 172.31.32.5 > 192.168.241.2: ICMP echo request, id 31959, seq 2, length 64
02:04:34.705519 IP 172.31.32.5 > 192.168.241.2: ICMP echo request, id 31959, seq 3, length 64
02:04:35.705436 IP 172.31.32.5 > 192.168.241.2: ICMP echo request, id 31959, seq 4, length 64

Для сравнения, вот что происходит, когда машина OpenVPN проверяет локальную машину OS X.

ubuntu@ip-172-31-11-153:~$ sudo tcpdump -i any -n icmp
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 262144 bytes 
02:06:13.214559 IP 192.168.241.1 > 192.168.241.2: ICMP echo request, id 4169, seq 1, length 64
02:06:13.791529 IP 192.168.241.2 > 192.168.241.1: ICMP echo reply, id 4169, seq 1, length 64
02:06:14.215124 IP 192.168.241.1 > 192.168.241.2: ICMP echo request, id 4169, seq 2, length 64
02:06:14.370423 IP 192.168.241.2 > 192.168.241.1: ICMP echo reply, id 4169, seq 2, length 64

Таблица маршрутов в консоли AWS настроена (192.168.241.0/24 -> OpenVpn Instance)

В экземпляре OpenVPN включена переадресация IP (echo 1 > /proc/sys/net/ipv4/ip_forward)

Проверка источника / получателя на экземпляре OpenVPN отключена.

я пробовал ip route add (11.153 - это экземпляр openvpn), и он просто возвращает ошибку:

ubuntu@ip-172-31-32-5:~$ sudo ip route add  192.168.241.0/24 via 172.31.11.153
RTNETLINK answers: Network is unreachable

Мои таблицы IP определены так:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             ip-172-31-0-0.us-east-2.compute.internal/16  /* pritunl-5a1f3acaf55623048c5ccaf0 */
ACCEPT     all  --  anywhere             ip-192-168-241-0.us-east-2.compute.internal/24  /* pritunl-5a1f3acaf55623048c5ccaf0 */
DROP       all  --  anywhere             anywhere             /* pritunl-5a1f3acaf55623048c5ccaf0 */

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  ip-172-31-0-0.us-east-2.compute.internal/16  anywhere             ctstate RELATED,ESTABLISHED /* pritunl-5a1f3acaf55623048c5ccaf0 */
ACCEPT     all  --  anywhere             ip-172-31-0-0.us-east-2.compute.internal/16  /* pritunl-5a1f3acaf55623048c5ccaf0 */
ACCEPT     all  --  ip-192-168-241-0.us-east-2.compute.internal/24  anywhere             /* pritunl-5a1f3acaf55623048c5ccaf0 */
ACCEPT     all  --  anywhere             ip-192-168-241-0.us-east-2.compute.internal/24  /* pritunl-5a1f3acaf55623048c5ccaf0 */
DROP       all  --  anywhere             anywhere             /* pritunl-5a1f3acaf55623048c5ccaf0 */    

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
ACCEPT     all  --  ip-172-31-0-0.us-east-2.compute.internal/16  anywhere             /* pritunl-5a1f3acaf55623048c5ccaf0 */
ACCEPT     all  --  ip-192-168-241-0.us-east-2.compute.internal/24  anywhere             /* pritunl-5a1f3acaf55623048c5ccaf0 */
DROP       all  --  anywhere             anywhere             /* pritunl-5a1f3acaf55623048c5ccaf0 */