Пакеты не доходят до интерфейса Wireguard

[ElForastero]

Доброго времени суток!

Прошу помощи разобраться в ситуации, моих знаний недостаточно.

Настроил Wireguard туннель до VPS, он работает, роутер пингуется, соединение стабильно.

Теперь пытаюсь сделать доступной через туннель подсеть роутера 192.168.3.0 (Homelab с контейнерами).

Проблема: траффик (ICMP) успешно проходит от VPS через туннель до конкретной ноды в подсети (192.168.3.2), она отвечает на него. И на этом всё - обратно до WG интерфейса ответы не доходят.

В AllowedIPs пира на клиенте (роутер) 0.0.0.0/0.

Дамп пакетов на обоих интерфейсах показывает именно это - до WG на роутере пакеты дошли, перенаправились в подсеть, там есть ответ, но обратно в туннель он не маршрутизируется.

Оба интерфейса (Wireguard1 и Brigde3) установлены в security-level private.

На обоих Inbound траффик IP разрешен из/в любые направления. Для Wireguard интефрейса включен NAT.

На этом я уже сдался. Дамп пакетов показывает что ответов до WG просто не доходит.

Предполагаю что есть еще какой-то нюанс. Посоветуйте что ещё посмотреть?

KeeneticOS: 4.3.3

Giga KN-1011

Изменено 13 июля пользователем ElForastero