Помогите разобраться.

Есть две сети соединенные через openvpn:
10.8.0.1 сервер openvpn debian (за ним лок сеть 192.168.1.0/24)
10.8.0.9 клиент openvpn роутер ASUS RT-N66U (за ним сеть 192.168.2.1/24)
10.8.0.3 клиент openvpn без сети

[192.168.2.0/24===10.8.0.9]-----{internet}-----[10.8.0.1===192.168.1.0/24]
                                                               |
                                                               |
                                                        [10.8.0.3]
При этом :

1. С адреса 10.8.0.9 (и с адресов локальной сети 192.168.2.0/24) видны все компьютеры (как 10.8.0.3, так и 10.8.0.1(включая локальную сеть 192.168.1.0/24)
2. С адреса 10.8.0.3 видны тоже все машины как за сервером, так и за клиентом.
3. А вот с сервера ни видно клиента 10.8.0.9, но виден клиент 10.8.0.3. Пинг к 10.8.0.9 просто повисает.

Настройки сервера такие (оставил лишь нужную часть):
push "route 192.168.1.0 255.255.255.0"
push "route 192.168.2.0 255.255.255.0"
client-config-dir ccd
route 192.168.2.0 255.255.255.0
push "dhcp-option DNS 8.8.8.8"
client-to-client
;duplicate-cn
в папке ccd для клиента 10.8.0.9 такие настройкии:
ifconfig-push 10.8.0.9 255.255.255.0
iroute 192.168.2.0 255.255.255.0

Я бы понял, если никто не видел сеть за клиентом 10.8.0.9, но почему один видит другой нет?

Правила в фаерволе такие:
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -p udp -m udp --dport 1194 -j ACCEPT
iptables -A INPUT -p icmp -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -s 10.8.0.0/24 -p tcp -m tcp -j ACCEPT
iptables -A INPUT -s 10.8.0.0/24 -p udp -m udp -j ACCEPT

iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -p icmp -j ACCEPT

iptables -A FORWARD -i tun0 -j ACCEPT

Вывод ip route на серее такой:

default via {ext_ip} dev enp2s0
10.8.0.0/24 dev tun0 proto kernel scope link src 10.8.0.1
{ext_ip}/24 dev enp2s0 proto kernel scope link src {ext_ip}
192.168.1.0/24 dev enp1s0 proto kernel scope link src 192.168.1.1
192.168.2.0/24 via 10.8.0.2 dev tun0

На роутере такой:

{ext_ip} via 10.99.0.1 dev eth0  metric 1
10.200.100.1 dev ppp0  proto kernel  scope link
192.168.2.0/24 dev br0  proto kernel  scope link  src 192.168.2.1
192.168.1.0/24 via 10.8.0.1 dev tun11
10.8.0.0/24 dev tun11  proto kernel  scope link  src 10.8.0.9
192.168.0.0/24 via 10.8.0.1 dev tun11
10.99.0.0/16 dev eth0  proto kernel  scope link  src 10.99.5.218
127.0.0.0/8 dev lo  scope link
default via 10.200.100.1 dev ppp0
default via 10.99.0.1 dev eth0  metric 1