strongswan pack get natted quando o ufw está habilitado

Question

Estou usando o strongswan 4.6.4 para conectar os road warriors ao meu servidor (ubuntu 13.10), que é usado por um firewall.

    left=%defaultroute
    leftsubnet=10.10.1.0/24
    right=%any
    rightsubnet=10.11.1.0/24
    rightsourceip=10.11.1.0/24

O "leftsubnet" 10.10.1.0/24 também é dedicado à rede de serviços VPN, o próprio servidor está na rede 192.168.1.0/24 e possui endereços IP em ambas as redes (192.168.1.2 e 10.10.1.2). % defaultroute aponta para 192.168.1.1.

A própria VPN está funcionando e, se o firewall ufw não estiver em execução, o acesso dos clientes do road warrior ao servidor estará funcionando. O tcpdump mostra o tráfego de 10.11.1.1 a 10.10.1.2.

Agora, quando o ufw firewall é iniciado, a criação do túnel ainda funciona, mas o tráfego que vem dos road warriors é de origem e destino.

O que significa que o tcpdump mostra como IP de origem o IP público do cliente em vez do IP virtual 10.11.1.1 e como IP de destino 192.168.1.2 em vez de 10.10.1.2.

Claro, não há regras nat no iptables.

Como posso resolver o problema? AFAIK ufw apenas mantém as regras do iptables. Onde o nat acontece quando o ufw está ativo?

Muito obrigado!