Instanță EC2 care rulează Ubuntu ca router către rețeaua Wireguard

Am o mașină în AWS EC2 care rulează Ubuntu 16.04 (B) cu Wireguard care rulează ca server VPN pentru unele dispozitive Road Warrior (C).

Voi încerca să o schițez mai jos:

+-----+ +-----+ +-----+
| | ---------------------------> | | -------------------------> | |
| A | 172.30.0.5/16 172.30.0.6/16 | B | 10.70.0.1/24 10.70.0.2/32 | C |
| | ens5 eth0 | | wg0 wg0 | |
+-----+ +-----+ +-----+

Vreau să direcționez traficul adresat 10.70.0.0/24 de la (A) la (C) prin (B).

Am incercat urmatoarea configuratie:

Pe gazdă (A):

ruta ip adăugați 10.70.0.0/24 prin 172.30.0.6

Grupul de securitate EC2 permite tot traficul către și de la 172.16.0.0/12.

Pe gazdă (B):

sysctl -w net.ipv4.ip_forward 1
ufw permit de la 172.16.0.0/12
ruta ufw permite afară pe wg0
iptables -t nat -A POSTROUTING -s 172.16.0.0/12 -o wg0 -j MASQUERADE

Am verificat că redirecționarea este activată pentru toate interfețele, așa cum este descris aici: https://askubuntu.com/a/923292

net.ipv4.conf.eth0.forwarding = 1
net.ipv4.conf.wg0.forwarding = 1

Grupul de securitate EC2 permite tot traficul către și de la 172.16.0.0/12.

Am încercat chiar să setez DEFAULT_FORWARD_POLICY="ACCEPT" în /etc/default/ufw.

Nu mai am idei ce mai lipsește aici, nu pot să trec niciun pachet. Pe gazdă (B) iptables nu vede niciun pachet care trece prin el REDIRECŢIONA lanţ:

iptables -nv -L FORWARD
Lanț FORWARD (politica ACCEPT 0 pachete, 0 octeți)
 pkts bytes target prot opt ​​in out source destination
    0 0 ufw-before-logging-forward all -- * * 0.0.0.0/0 0.0.0.0/0
    0 0 ufw-before-forward all -- * * 0.0.0.0/0 0.0.0.0/0
    0 0 ufw-după-înainte toate -- * * 0.0.0.0/0 0.0.0.0/0
    0 0 ufw-după-logging-forward toate -- * * 0.0.0.0/0 0.0.0.0/0
    0 0 ufw-reject-forward all -- * * 0.0.0.0/0 0.0.0.0/0
    0 0 ufw-track-forward all -- * * 0.0.0.0/0 0.0.0.0/0