Как организовать прямой доступ между двумя интерфейсами?

Салют!
Имеется сервер CentOS 7 с тремя сетевыми картами:
wan - 11.11.11.11
lan0 - 172.16.0.1/24
lan1 - 172.16.1.1/24

net.ipv4.ip_forward = 1

Всем управляет FirewallD

external (active)
  interfaces: wan
  sources: 
  services: http https ssh
  ports: ...
  masquerade: yes
  forward-ports:...
  icmp-blocks: timestamp-reply timestamp-request
  rich rules

internal (default, active)
  interfaces: lan0 lan1
  sources: 
  services: dhcpv6-client http https ipp-client mdns mountd nfs rpc-bind samba-client ssh
  ports: 
  masquerade: no
  forward-ports: 
  icmp-blocks: timestamp-reply timestamp-request
  rich rules:

route -n

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         11.11.11.22       0.0.0.0         UG    100    0        0 wan
11.11.11.11    0.0.0.0         255.255.255.248 U     100    0        0 wan
172.16.0.0      0.0.0.0         255.255.252.0   U     0      0        0 lan0
172.16.1.0     0.0.0.0         255.255.255.0   U     0      0        0 lan1

локальные интерфейсы выходят "в мир" без проблемм
но доступа друг к другу не имеют, при этом из, например 172.16.0.0/24 сети я могу пропинговать только 172.16.1.1 и соответственно наоборот.
Чувствую, что, что-то забыл, но что не могу понять.
Подскажите что я не доделал, а то я уже 2 дня бъюсь и не добъюсь