Пытаюсь объединить две сети. Схема:
192.168.1.0/24----------(192.168.1.1 (GW1) <white ip> (tun0 10.8.0.1))-------------((tun0 10.8.0.2)<white ip2> (GW2) 192.168.3.1)--------192.168.3.0/24

С 3.1 пингуется всё, но к сервисам не подключается - пакеты идут в одну сторону(tcpdump на gw1.tun0 показывает только входящие).
С 1.1 пингуется 0.2, но не пингуется 3.0/24 (tcpdump на gw1.tun0 показывает только исходящие, на  gw2.tun0 они не прилетают)

gw1#route -n
10.8.0.2........0.0.0.0...255.255.255.255 . tun0
192.168.3.0.....10.8.0.2..255.255.255.252 . tun0
white ip........0.0.0.0...255.255.255.248 . eth1
10.8.0.0........10.8.0.2..255.255.255.0.....tun0
192.168.1.0.....0.0.0.0...255.255.255.0.....eth0
0.0.0.0.........white ip..0.0.0.0...........eth1

gw2#route -n
0.0.0.0.........white ip2..0.0.0.0 ....... eth1
10.8.0.1........0.0.0.0... 255.255.255.255 tun0
white lan.......0.0.0.0....255.255.255.248 eth1
192.168.0.0.....10.8.0.1...255.255.255.0 . tun0
192.168.1.0.....10.8.0.1...255.255.255.0 . tun0
192.168.3.0.....0.0.0.0....255.255.255.0 . eth0

gw1#egrep -v '^;|^#|^$' /etc/openvpn/server.conf
local <white ip>
port 2194
proto udp
dev tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/server.crt
key /etc/openvpn/keys/server.key
dh /etc/openvpn/keys/dh1024.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-linear
ifconfig-push 10.8.0.2 10.8.0.1
push "route 192.168.1.0 255.255.255.0"
route 192.168.3.0 255.255.255.252
keepalive 10 120
cipher DES-EDE3-CBC  # Triple-DES
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status /var/log/openvpn/openvpn-status.log
log         /var/log/openvpn/openvpn.log
log-append  /var/log/openvpn/openvpn.log
verb 3
mute 20

gw2# egrep -v '^;|^#|^$' /etc/openvpn/client.conf
client
dev tun
proto udp
remote <white ip> 2194
resolv-retry infinite
nobind
pull
user nobody
group nogroup
persist-key
persist-tun
ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/okro.crt
key /etc/openvpn/keys/okro.key
ns-cert-type server
cipher DES-EDE3-CBC
comp-lzo
verb 3
mute 20

iptables на обоих пустой, политики ACCEPT
в ip_forward на обоих 1
маршруты создаются автоматически после запуска openvpn
OS - Debian
Что я делаю не так?