VPN через strongswan: как серверу участвовать в виртуальной сети?

Настроил VPN через strongswan (IKEv2). Соединяюсь, маскарад работает, всё нормально. Теперь хочу на сервере поднять некоторые сервисы, которые должны быть доступны только внутри сети. Когда делал VPN через OpenVPN, у сервера был свой адрес, я просто биндил сервисы на этот адрес и никто извне по определению не мог к ним достучаться. Как тут сделать — не понимаю, каких-то виртуальных интерфейсов нет. Можно биндиться на публичный интерфейс и защитить фаерволом, наверное работать будет, но как-то не совсем нравится такой вариант. Какие-нибудь более безопасные варианты есть?