diff --git a/ansible/playbooks/openvpn-phone.yml b/ansible/playbooks/openvpn-phone.yml
index c43e0a7..6560e6e 100644
--- a/ansible/playbooks/openvpn-phone.yml
+++ b/ansible/playbooks/openvpn-phone.yml
@@ -177,6 +177,20 @@
       changed_when: "'Rule added' in ufw_allow_phone_openvpn.stdout or 'Rules updated' in ufw_allow_phone_openvpn.stdout"
       failed_when: false
 
+    # Road-warrior трафик tun2 -> tun0 ФОРВАРДИТСЯ через ru-vps, а policy
+    # FORWARD = DROP. Сайт-тоннель этого правила не требовал (он несёт
+    # собственный трафик ru-vps, не forward). ufw route allow переживает
+    # `ufw reload`, в отличие от сырого iptables -I FORWARD. Обратное
+    # направление покрыто глобальным RELATED,ESTABLISHED в ufw-before-forward.
+    - name: Allow forwarding phone VPN traffic into the LAN
+      community.general.ufw:
+        route: true
+        rule: allow
+        interface_in: "{{ phone_openvpn_interface }}"
+        interface_out: "{{ phone_openvpn_site_interface }}"
+        src: "{{ phone_openvpn_network_cidr }}"
+        dest: "{{ homelab_lan_cidr }}"
+
     - name: Render phone OpenVPN server config
       ansible.builtin.copy:
         dest: "{{ phone_openvpn_config }}"