как заставить vpn использовать другой интерфейс

Мне нужно установить vpn-соединение на другом интерфейсе, отличном от интерфейса по умолчанию, потому что vpn ограничивает весь трафик, кроме vpn, из соображений безопасности, и я хочу сохранить доступ к серверу. У меня есть экземпляр ec2 (здесь у меня нет других вариантов) с одним интерфейсом по умолчанию eth0. Я подключил другой сетевой интерфейс eth1

У меня есть экземпляр ec2 с одним интерфейсом по умолчанию eth0, я подключил другой сетевой интерфейс. и теперь есть что-то вроде этого:

># ip а
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    ссылка/петля 00:00:00:00:00:00 брд 00:00:00:00:00:00
    инет 127.0.0.1/8 область хоста lo
       valid_lft навсегда
    inet6 :: 1/128 узел области видимости 
       valid_lft навсегда
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9001 qdisc fq_codel состояние UP группа по умолчанию qlen 1000
    ссылка/эфир 06:2f:5d:c0:55:6e brd ff:ff:ff:ff:ff:ff
    inet ip1/20 brd ip1 scope глобальный динамический noprefixroute eth0
       valid_lft 2407 сек. selected_lft 2 407 сек.
    ссылка на область inet6 fe80::42f:5dff:fec0:556e/64 
       valid_lft навсегда
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 9001 qdisc fq_codel состояние UP группа по умолчанию qlen 1000
    ссылка/эфир 06:b8:d3:46:5b:7a брд ff:ff:ff:ff:ff:ff
    inet ip2/20 brd ip2 scope глобальный динамический noprefixroute eth1
       valid_lft 2407 сек. selected_lft 2 407 сек.
    inet6 fe80::ebfc:115e:3acc:bb57/64 ссылка на область видимости noprefixroute 
       valid_lft навсегда
4: tun1: <POINTOPOINT,MULTICAST,NOARP> mtu 1500 qdisc noop состояние DOWN группа по умолчанию qlen 100
    ссылка/нет 

затем я попытался перенаправить трафик vpn на eth1:

iptables -t filter -I FORWARD -i tun1 -o eth1 -j ПРИНЯТЬ
iptables -t filter -I FORWARD -m состояние --state УСТАНОВЛЕНО,СВЯЗАННО -j ПРИНЯТЬ
iptables -t nat -I POSTROUTING -o eth1 -j MASQUERADE

и когда я подключаюсь к vpn, я могу установить соединение, но трафик идет через eth0, потому что экземпляр ec2 больше недоступен, и мне нужно перезагрузить экземпляр.

Два вопроса:

• что не так с моим подходом? Что мне здесь не хватает?
• туннель всегда не работает, несмотря на то, что я пытаюсь поднять его ifconfig настроить 1 вверх. Это нормально?

Спасибо