Денис Нейчев

Решение пришло. К правилу, которое я описал выше, необходимо было просто добавить маршрут в ip ro, т.е.
iptables -t nat -A OUTPUT -d 172.16.80.1 -j DNAT --to-destination a.b.c.d
ip ro add 172.16.80.1 via [tun_ip]

вопрос закрыли. нашли говнокод одного из разработчиков, который зацикливал бэкэнд, в следствии чего не было выхода из процедуры и fpm не понимал что ему делать. всем спасибо за внимание