У меня точно такая же конфигурация и та же проблема сейчас. Могу пинговать всё нормально с хостов, но не с Gateway. И DNS-пересылка на Gateway на DNS-сервер VPN не работает.

Я наткнулся на пост на Reddit (к сожалению, не могу здесь ссылку вставить), в котором описан обходной путь. Я выкладываю полный пост с Reddit ниже. Сейчас я выясняю, можно ли это сделать через пользовательский интерфейс или чтобы это сохранилось после перезагрузки.

Спасибо r/Ubiquity /u/pcpcy------------------------
Да, это, скорее всего, по задумке. Вот что я думаю:

Я думаю, что маршруты уже добавлены (можно проверить, набрав ip route и посмотрев, есть ли маршрут vtiXX для IPSec или tunX для OpenVPN).

Однако, я думаю, что проблема в том, что UDMP не назначает IP-адрес для интерфейса site-to-site, поэтому удаленный site-to-site не знает, как маршрутизировать трафик обратно (можно проверить IP на интерфейсе, набрав ip addr show dev vtiXX, например), так как UDMP отправляет пакеты из WAN IP или какого-то UDMP IP из другого подсети.

Что, вероятно, может сработать, так это добавить SNAT для локального трафика UDMP, чтобы все, что от UDMP и не маршрутизируется через интерфейс site-to-site, было SNAT'ено до IP-адреса UDMP в той подсети, которую удаленный site-to-site знает. Например, если удаленный UDMP имеет настроенной подсетью 192.168.2.0/24 в качестве "удаленной подсети" для локального UDMP, а у локального UDMP есть IP-адрес 192.168.2.1 в этой подсети, то можно добавить следующее SNAT через iptables в SSH на локальном UDMP:

iptables -t nat -A POSTROUTING -o vti64 -m addrtype --src-type LOCAL -j SNAT --to 192.168.2.1

Убедитесь, что вы изменили vti64 на правильный интерфейс site-to-site. Тогда связь от UDMP к site-to-site должна заработать.

Я не тестировал это, потому что у меня сейчас нет доступа к site-to-site, но отпишитесь и скажите, сработало ли это!--------------------------