Взял для теста конфигурацию и есть проблема, может я туплю
1) DSR250 A1, 1.05B20_WW
2) DSR500N A1, 1.06B43_WW
Тестовая конфигурация: компьютер А (10.0.0.2/24 gw 10.0.0.1) - LAN DSR500 (10.0.0.1/24) WAN1 (10.10.0.1/20 gw 10.10.1.1)-WAN DSR250(10.10.10.1/20 gw 10.10.0.1)LAN(10.0.1.1/24)-компьютер Б(10.0.1.2/24 gw 10.0.1.1)

Настроил ланы и ваны обоих маршрутизаторов, дал доступ к управлению через ван, компы соединяются с lan интерфейсами, маршрутизаторы между собой через wan (я их вижу через веб с любого компа). На компах фаерволы выключены, из локальной сети они пингуются. Маршрутизацию и настройки фаервола оставил дефаултные.
Туннель настраивал и так http://service.d-link.ua/node/68 и сяк http://www.dlink.ua/node/11100 и через визард, короче по всякому. Туннель поднимается. Пинги с компа А на 10.0.1.1 и с компа Б на 10.0.0.1 начинают ходить. Но пинги не ходят во внутреннюю подсеть чужого маршрутизатора, так с компа А я не вижу 10.0.1.2 и с компа Б не пингую 10.0.0.2. Как я понимаю это происходит либо из-за отсутствия маршрута: подсетьА-тунель-подсетьБ и наоборот (в настройках тунеля прописаны remote/local ip, тунели делал как site-to-site, так и hub-spoke) , либо из-за блокированием фаерволом на DSRках. Логи не информативны и пусты.

Теперь вопросы:
1) где я что то не настроил?
2)как посмотреть таблицу маршрутизации на DSR?
3) можно ли на маршрутизаторах сделать типа этого?:
sudo iptables -P FORWARD ACCEPT
sudo iptables -I FORWARD -j ACCEPT
4) как включить режим debug для логов?

Вроде как разобрался, но глюк неприятный.
Пока с маршрутизатора через System check не пустишь внутрь своей локальной сети пинг, из-вне через активный тунель хост назначения не виден.
4) пункт нашёл