openvpn관련 질문이요..

openwrt 기반의 무선 브릿지 2대를 연결했고, 현재 PC2는 Client<->AP 무선링크를 통해서 PC1 또는 외부로 통신가능한 상태입니다.

위 구성에서 AP와 Client 무선구간을 암호화는 용도로 openvpn을 사용하고싶어요.

AP를 openvpn서버, Client를 openvpn클라이언트로 설정했어요.
tun0 가상 인터페이스가 생성 되었구요. AP와 Client 간에 tun0을 통한 암호화 통신이 가능해요. 

그런데 PC2가 traceroute 8.8.8.8 하거나 외부로 통신시 AP와 Client의 기본 eth0 포트 192.168.88.0/24대역을 통해서 통신하는데.. tun0를 거쳐서 통신하고싶어요.

Client 쪽에서 외부와 통신하려면 전부 AP장비를 통해 나가거나 들어오잖아요. 

client의 eth0로 들어온 데이터 중는 전부 tun0로 보내서 openvpn 암호화 처리 후 전달하고싶어요

그리고 AP에서도 eth0로 들어온것중에 

Client로 가야하는 패킷이면 전부 tun0로 포워딩해서 openvpn에서 암호화 후 전달해야해요

pc1---AP<->Client---pc2 간의 통신시 무조건 tun0를 통해서 암/복호화 하길 원해요

그럴려면 eth0와 tun0간에 포워딩또는 라우티을 어떻게 설정해줘야 하는것인가요?

방법을 알려주세요.

현재 제 장비의 설정은 다음과 같아요..

my AP settings :

root@ap:~# route 

Kernel IP routing table

Destination Gateway Genmask Flags Metric Ref Use Iface 

default 192.168.88.254 0.0.0.0 UG 0 0 0 br-lan 

10.8.0.2 * 255.255.255.255 UH 0 0 0 tun0 

192.168.88.0 * 255.255.255.0 U 0 0 0 br-lan

root@ap:~# ip route

default via 192.168.88.254 dev br-lan proto static 

10.8.0.2 dev tun0 proto kernel scope link src 10.8.0.1 

192.168.88.0/24 dev br-lan proto kernel scope link src 192.168.88.118

root@ap:~# iptables -L -v 

Chain INPUT (policy ACCEPT 18842 packets, 5316K bytes) 

pkts bytes target prot opt in out source destination

Chain FORWARD (policy ACCEPT 128K packets, 34M bytes) 

pkts bytes target prot opt in out source destination 

534 58181 ACCEPT all -- any any anywhere anywhere ctstate RELATED,ESTABLISHED 

1 84 ACCEPT all -- tun0 br-lan 10.8.0.0/24 192.168.88.0/24 ctstate NEW

Chain OUTPUT (policy ACCEPT 277 packets, 31329 bytes) 

pkts bytes target prot opt in out source destination

root@ap:~# brctl show 

bridge name bridge id STP enabled interfaces 

br-lan 7fff.7c4f7d002788 no ath0 

                                  eth0

my client settings:

root@client:~# route 

Kernel IP routing table 

Destination Gateway Genmask Flags Metric Ref Use Iface 

10.8.0.1 * 255.255.255.255 UH 0 0 0 tun0 

192.168.88.0 * 255.255.255.0 U 0 0 0 br-lan

root@client:~# ip route 

10.8.0.1 dev tun0 proto kernel scope link src 10.8.0.2 

192.168.88.0/24 dev br-lan proto kernel scope link src 192.168.88.119

root@client:~# iptables -L -v 

Chain INPUT (policy ACCEPT 189K packets, 16M bytes) 

pkts bytes target prot opt in out source destination

Chain FORWARD (policy ACCEPT 96205 packets, 27M bytes) 

pkts bytes target prot opt in out source destination

Chain OUTPUT (policy ACCEPT 54605 packets, 3213M bytes) 

pkts bytes target prot opt in out source destination