cum să faci VPN să folosească altă interfață

Trebuie să stabilesc conexiunea vpn pe altă interfață care nu este implicită, deoarece vpn restricționează tot traficul, cu excepția vpn, din motive de securitate și vreau să păstrez accesul la server. Am o instanță ec2 (nu există alte opțiuni pentru mine aici) cu o singură interfață implicită eth0. Am atașat o altă interfață de rețea eth1

Am o instanță ec2 cu o singură interfață implicită eth0, am atașat o altă interfață de rețea. si acum ai ceva de genul asta:

># ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue stare UNKNOWN grup implicit qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft pentru totdeauna preferred_lft pentru totdeauna
    inet6 ::1/128 scope host 
       valid_lft pentru totdeauna preferred_lft pentru totdeauna
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9001 qdisc fq_codel state UP group default qlen 1000
    link/ether 06:2f:5d:c0:55:6e brd ff:ff:ff:ff:ff:ff
    inet ip1/20 brd ip1 scope global dynamic noprefixroute eth0
       valid_lft 2407sec preferred_lft 2407sec
    inet6 fe80::42f:5dff:fec0:556e/64 scope link 
       valid_lft pentru totdeauna preferred_lft pentru totdeauna
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9001 qdisc fq_codel state UP group default qlen 1000
    link/ether 06:b8:d3:46:5b:7a brd ff:ff:ff:ff:ff:ff
    inet ip2/20 brd ip2 scope global dynamic noprefixroute eth1
       valid_lft 2407sec preferred_lft 2407sec
    inet6 fe80::ebfc:115e:3acc:bb57/64 scope link noprefixroute 
       valid_lft pentru totdeauna preferred_lft pentru totdeauna
4: tun1: <POINTOPOINT,MULTICAST,NOARP> mtu 1500 qdisc noop state DOWN group default qlen 100
    link/niciuna 

apoi am încercat să redirecționez traficul VPN către eth1:

iptables -t filter -I FORWARD -i tun1 -o eth1 -j ACCEPT
iptables -t filter -I FORWARD -m stare --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -I POSTROUTING -o eth1 -j MASQUERADE

iar când mă conectez la vpn pot stabili conexiunea, dar traficul trece prin eth0 deoarece instanța ec2 nu mai este disponibilă și trebuie să repornesc instanța.

Două întrebări:

• ce este în neregulă cu abordarea mea? Ce îmi lipsește aici?
• tunelul este mereu în jos, în ciuda faptului că încerc să-l ridic ifconfig tun1 sus. este bine?

mulțumesc