IPSec между D-Link 804 и StrongSWAN

Всем салют.

Помогите, плз, решить проблему маршрутизации.

Нужно объединить две сети:

1. DLink (DI 804 HV) - реальный статический IP (ххх.ххх.ххх.ххх), локальный IP (192.168.1.254), сеть 192.168.1.0/24, поднят динамический IPSec.

2. Arch - реальный динамический IP (yyy.yyy.yyy.yyy), локальный IP (10.197.63.254), сеть 10.197.63.0/24 + StrongSWAN + Shorewall.

Arch поднимает IPSec-соединение на DLink, авторизация по PSK. Соединение успешно устанавливается. А вот дальше для меня не понятно - из сети 10.197.63.0/24 сеть 192.168.1.0/24 успешно пингуется, а вот наоборот - нет. Из 192.168.1.0/24 я могу пинговать только 10.197.63.254 :-(

Помогите, плз, разрулить маршруты. Я грешу на не совсем верные настройки SHOREWALL'а.

Конфиги:

$ cat /etc/ipsec.conf
config setup
	charondebug=all

conn %default
	ikelifetime=60m
	keylife=20m
	rekeymargin=3m
	keyingtries=1
	
	dpdaction=restart
	dpddelay=30s
	dpdtimeout=120s

conn alice
	keyexchange=ikev1
	authby=psk
	auto=start
	left=%defaultroute
	leftsubnet=10.197.63.0/24
	right=xxx.xxx.xxx.xxx
	rightsubnet=192.168.1.0/24

$ cat /etc/shorewall/zones
fw	firewall
net	ipv4
loc	ipv4
vpn	ipsec

$ cat /etc/shorewall/hosts
vpn	ppp0:192.168.1.0/24	ipsec

$ cat /etc/shorewall/policy
vpn	all	ACCEPT

loc	vpn	ACCEPT
loc	net	ACCEPT
loc	$FW	ACCEPT
loc	all	REJECT

$FW	vpn	ACCEPT
$FW	net	ACCEPT
$FW	loc	ACCEPT
$FW	all	REJECT

net	$FW	DROP
net	loc	DROP
net	all	DROP

all	all	REJECT