IPsec VPN Site-to-Site: невозможно подключиться к узлам в той же подсети, что и шлюз

Я пытаюсь соединить офисную сеть с облачной сетью Amazon VPC. Пока вроде все работает, за исключением того, что я не могу связаться с серверами в той же подсети, что и облачный шлюз.

Office subnet: 10.0.0.0/24
Cloud subnet: 10.1.0.0/16
Public subnet: 10.1.0.0/24
Private subnet: 10.1.2.0/24

У меня есть IPsec site to site vpn (openswan), настроенный из офисной подсети в облачную подсеть между двумя шлюзами linux (ubuntu 14.04 LTS). Офисный шлюз находится в офисной подсети, облачный шлюз - в публичной подсети.

С компьютеров в офисной подсети я могу проверить связь с облачным шлюзом и сервером в частной подсети, и наоборот. Однако я не могу проверить связь с сервером в той же (общедоступной) подсети, что и облачный шлюз из офисной сети, ни с офисным шлюзом. Однако я могу выполнить эхо-запрос от облачного шлюза до сервера. Traceroute от офисного шлюза до сервера в общедоступной подсети показывает облачный шлюз как первый переход, но не более того.

Такое ощущение, что в iptables чего-то не хватает. Или openswan?

http://pastebin.com/wBzBCqWq - таблицы nat и ipsec.conf для обоих шлюзов

Это то, что я хотел: http://docs.aws.amazon.com/AmazonVPC/latest/UserGuide/VPC_Scenario2.html

Дайте мне знать, если я смогу уточнить или предоставить что-нибудь еще, заранее спасибо.