dmsn

В правилах файрвола нет правил на запрет по подсетям/интерфейсам? Создай правила логирования где входящий и исходящий интерфейс твой туннель (action=log). И в общем логе смотри не попадает ли трафик под экран.