Raggiungi un client VPN da un host su una sottorete privata su AWS VPC

Ho una configurazione come quella sul github di turnkeylinux https://github.com/turnkeylinux-apps/openvpn/blob/master/docs/site-to-site.rst

Ho un VPC con sottoreti pubbliche e private e un'istanza NAT nella sottorete pubblica. Nella sottorete pubblica ho anche un server openvpn fornito da un AMI turnkeylinux. Ora, ho 2 client VPN che si connettono da remoto al server openvpn nel VPC e questi client non hanno problemi a raggiungere la sottorete privata.

Mi piacerebbe però che gli host nella sottorete privata raggiungessero i client VPN, non la lan dietro i client.

VPC: 10.1.0.0/16
Public subnet: 10.1.0.0/24
  NAT: 10.1.0.2
  OVPN server: 10.1.0.3
Private subnet: 10.1.1.0/24
  A host on the private subnet is 10.1.1.4

I client VPN ricevono IP in a 10.1.128.0/17 sottorete. Quindi ho 2 client con IP: 10.1.128.6 e 10.1.128.10

Ora tutti i clienti possono raggiungere con successo 10.1.1.4, ma 10.1.1.4 non può raggiungere il 10.1.128.6 o 10.1.128.10

È possibile che gli host in una sottorete privata raggiungano i client vpn effettivi?

Si è possibile.

Ho dovuto aggiungere un percorso alla tabella del percorso della sottorete privata che indirizzerà il traffico a 10.1.128.0/17 utilizzando l'istanza openvpn (10.1.0.3).

Successivamente ho dovuto aggiungere masquerading da eth0 a tun0 (sul server ovpn). tun0 to eth0 era già impostato. Questo è il comando:

iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE