Wireguard - ruch do sieci za tunem IPsec Site-to-Site

[kwiatek1001r]

Witam, mamy problem z poprawnym NATowaniem ruchu w przypadku zestawienia VPN klienckiego Wireguard do sieci osiągalnych za tunelem IPSecVPN.
Sieć 172.16.0.0/24 jest adresacją VPN klienckich. Łączy się ona do serwera VPN który ma dostęp do VLAN lokalnych 192.168.0.0/24, 192.168.10.0/24 - ten ruch realizowany jest prawidłowo. Natomiast sam serwer Wireguard ma również zestawiony tunel IPSec do sieci 10.168.106.0/24 i do tej sieci ruch z 172.16.0.0/24 nie działa.

W fazie drugiej IPSec nie ma klasy VPN klienckiego - 172.16.0.0/24 i nie mogę jej dodać bo nie mam dostępu do drugiej strony wiec można to zrealizować poprzez NAT adresacji 172.16.0.0/24 na dowolny adres który w fazie drugiej istnieje np. 192.168.10.250 jeśli ruch kierowany jest do 10.168.106.0/24.

Niestety nie wiem jakimi regułami iptables to zrealizować.