Кстати, вот слегка обновлённая схемка сетей. Там уже видно, для чего нужно разделить 1 и 2 сети роутерами, а не мостами:
http://slil.ru/27443596

1. IPSEC в DI-80x НЕ МАРШРУТИЗИРУЕТСЯ. Поэтому статические маршруты в DI-804 можете убрать и не мучиться.
2. Все сказанное относится только к туннелю между D1 и D2.
Сеть 3 192.168.20.0/24
Сеть 2 192.168.2.0/24
Сеть 1 192.168.1.0/24
Настройки IPSEC туннеля в части Remote subnet
D1 192.168.0.0/22
D2 192.168.20.0/24
При таких настройках (но нужно найти подходящую версию прошивки - см. viewtopic.php?t=62423 ) из сети 3 пинги до сетей 1 и 2 должны проходить через туннель. Для версии 1.51, судя по сообщению AndreyMir Сеть 2 д.б. 192.168.3.0/24.
Что и как вы будете настраивать на роутере Z1 - это уже ваша забота.