Маршрутизация между VLAN через IPSec VPN

RouterOS: v6.48.4  
Router: CCR1036-12G-4S  

Привет!  
У нас есть удалённый объект с четырьмя VLAN:  
- Management VLAN - 172.22.20.0/24  
- VLAN 1 - 172.22.21.0/24  
- VLAN 2 - 172.22.22.0/24  
- VLAN 3 - 172.22.23.0/24  

Между VLAN настроена маршрутизация, и мы ограничиваем трафик между VLAN с помощью встроенного фаервола. Локально мы можем подключаться к Management VLAN, пинговать шлюзы VLAN и любые устройства, которым разрешён проход через фаервол.  

На локальной сети у нас подсеть 192.168.150.0/24, которая подключена через IPSec VPN к удалённой Management VLAN 172.22.20.0/24. Это позволяет локальным администраторам получить доступ и управлять удалённой сетью.  

Проблема в том, что при подключении через VPN меж VLAN маршрутизация перестаёт работать, и мы не можем ни пинговать, ни получить доступ к шлюзам VLAN. Похоже, что это не проблема фаервола, ведь на шлюзы VLAN по идее должен приходить отклик, а правила разрешают трафик с локальной сети.  

В качестве временного обходного решения мы настроили несколько phase two на VPN — по одному для каждой подсети. Но это не оптимально с точки зрения безопасности, потому что теперь мы напрямую подключаем локальную сеть к каждой удалённой VLAN, обходя политику безопасности.  

В идеале мы хотим подключаться к management сети и нормально маршрутизировать трафик на другие VLAN, при этом учитывая правила фаервола.  

Кто-нибудь знает, как это можно сделать?  

Спасибо,  
t04s