Доступ к VPN-клиенту с узла в частной подсети AWS VPC

у меня настройки как на GitHub turnkeylinux по https://github.com/turnkeylinux-apps/openvpn/blob/master/docs/site-to-site.rst

у меня есть VPC с общедоступными и частными подсетями и экземпляр NAT в общедоступной подсети. В публичной подсети у меня также есть сервер openvpn, предоставляемый TURNKEYLINUX AMI. Теперь у меня есть 2 vpn-клиента, которые удаленно подключаются к серверу openvpn в VPC, и у этих клиентов нет проблем с достижением частного подсеть.

Я хотел бы, хотя для хостов в частной подсети, чтобы достичь vpn-клиентов, а не локальной сети за клиентами.

VPC: 10.1.0.0/16
Public subnet: 10.1.0.0/24
  NAT: 10.1.0.2
  OVPN server: 10.1.0.3
Private subnet: 10.1.1.0/24
  A host on the private subnet is 10.1.1.4

VPN клиенты получают IP-адреса в 10.1.128.0/17 подсети.
Поэтому у меня 2 клиента с IP:10.1.128.6 и 10.1.128.10

теперь все клиенты могут успешно достичь 10.1.1.4, а 10.1.1.4 недоступен 10.1.128.6 или 10.1.128.10

возможно ли, чтобы хосты в частной подсети достигли фактических клиентов vpn?