Rota de tráfego de sub-rede através do túnel OpenVPN

Question

Eu tenho uma máquina Linux configurada como um gateway entre uma sub-rede isolada e o resto da minha rede.

NAT é feito via iptables e funciona bem.

# Generated by iptables-save v1.6.1 on Mon Nov 27 10:22:22 2017
*filter
:INPUT ACCEPT [14459:13422943]
:FORWARD DROP [323:21689]
:OUTPUT ACCEPT [9723:3273357]
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.112.0.0/16 -d 10.113.0.0/16 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -s 10.113.0.0/16 -i eth1 -o tun0 -m conntrack --ctstate NEW -j ACCEPT
COMMIT
# Completed on Mon Nov 27 10:22:22 2017
# Generated by iptables-save v1.6.1 on Mon Nov 27 10:22:22 2017
*nat
:PREROUTING ACCEPT [795:105677]
:INPUT ACCEPT [20:3379]
:OUTPUT ACCEPT [12:777]
:POSTROUTING ACCEPT [12:777]
-A POSTROUTING -s 10.113.0.0/16 -o tun0 -j MASQUERADE
COMMIT
# Completed on Mon Nov 27 10:22:22 2017

Se eu me conectar por meio de rotas openVPN para redirecionar todo o tráfego, ele será enviado do servidor e isso também funcionará bem.

0.0.0.0/1 via 10.211.1.142 dev tun0
default via 10.112.0.1 dev eth0 proto static
10.112.0.0/16 dev eth0 proto kernel scope link src 10.112.0.2
10.113.0.0/16 dev eth1 proto kernel scope link src 10.113.0.1
10.211.1.142 dev tun0 proto kernel scope link src 10.211.1.141
118.241.176.13 via 10.112.0.1 dev eth0
128.0.0.0/1 via 10.211.1.142 dev tun0

No entanto, eu gostaria apenas de redirecionar o tráfego NAT da sub-rede 10.113.0.0 através da interface tun0 e deixar o próprio gateway manter sua conexão normal com a internet (para atualização, etc).

Eu pensei em adicionar o route-nopull ao meu openvpn.conf que resolveria isso já que o tráfego é redirecionado para tun0 pelas regras de iptable, mas aparentemente isso não é suficiente (os clientes de sub-rede não podem se conectar ao internet)

Parece que estou faltando apenas algumas entradas de rota ip simples ou algo assim.