Use o Ubuntu como roteador de gateway de VPN (tráfego de internet somente por VPN)

Question

Eu tenho uma VM VirtualBox rodando o Ubuntu 14.04.3 que eu gostaria de

1. use como roteador de gateway.
2. conecte-se a um servidor OpenVPN dessa VM e faça o encaminhamento para a Internet via VPN
3. conecte-se diretamente às máquinas locais (não através de VPN)

Eu segui as instruções de aqui para configurar o encaminhamento, que funcionou bem. Minhas regras de iptable (em um arquivo up.sh) são

sudo iptables -A FORWARD -o tun0 -i eth0 -s 192.168.2.0/24 -m conntrack --ctstate NEW -j ACCEPT
sudo iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A POSTROUTING -t nat -j MASQUERADE

A primeira regra é a que adicionei para permitir o encaminhamento para recursos locais.

Eu tenho um arquivo down.sh similar para derrubar o encaminhamento (ou assim, eu esperava)

sudo iptables -D POSTROUTING -t nat -j MASQUERADE
sudo iptables -D FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -D FORWARD -o tun0 -i eth0 -s 192.168.2.0/24 -m conntrack --ctstate NEW -j ACCEPT

Eu também executei o seguinte comando para habilitar o encaminhamento

sudo sh -c "echo 1 > /proc/sys/net/ipv4/ip_forward"

No meu arquivo config.conf openvpn, eu tenho os scripts definidos para serem executados através dos seguintes comandos

script-security 2
up /etc/openvpn/up.sh
down /etc/openvpn/down.sh

Na inicialização da VM, o script up é executado e o tráfego é encaminhado pela VPN (embora os primeiros pacotes pareçam enviados pela conexão regular). Para testar o script abaixo, eu faço,

sudo killall openvpn

Parece que o script foi executado com sucesso, pois todas as minhas regras de iptable foram removidas. No entanto, o tráfego agora é encaminhado pela minha conexão de internet normal (eth0).

Como posso fazer com que o encaminhamento de tráfego seja interrompido se a VPN for desconectada ou não estiver mais operacional? Idealmente, eu gostaria de ter acesso a recursos locais em todos os momentos e à internet somente via VPN (de minhas máquinas cliente).

Obrigado