SO einfach ist das nun leider wieder nicht.
Erst mal ein paar Fragen:
Welcher Server (IP) ist der Router ?
Welcher Server (IP) stellt das VPN her ?

Dazu muss man folgendes verstehen:
Die Netzwerkkarte ist wie eine Tür zu sehen, die zu einem Verteiler (Router) führt.
Diese bekommt ihre Adresse (IP) unter der genau diese Karte erreichbar ist.
Die Maske ist zu sehen wie:
Alle IP's, die über die Maske gelegt werden, gehören zum gleichen Gang, also, aus der Tür raus, auf den Gang, alle IP's der Maske sond Zimmer, die von diesem Gang erreichbar sind.

Nun gibt's IP's, die nun mal nicht im selben Gang liegen. Dafür definiert man eine Tür (Router mit IP), die selber weiß, über welche Gänge (Netze) die anderen Türen erreichbar sind.

Hat die AS/400 selber nur eine Karte mit einer IP, so kann natürlich über diese IP nur genau 1 Router angegeben werden, der nun die Verteilung übernimmt.

Wird nun das VPN über eine 2. Karte mit eigener IP in der AS/400 aufgebaut, so kann natürlich für dieses Netz eine Route über die 2. IP definiert werden.
Mit anderen Worten, es gibt nun 2 Türen für jeden Gang (Netz).

Wird das VPN aber von einem anderen Server aufgebaut, hat dieser ja nun 2 IP's.
1 IP des eigenen Netzes, die 2.IP des VPN.

Da die AS/400 nun aber nur eine Tür hat, kann sie selber zwar den VPN-Router erreichen, aber nicht die dahinter liegenden IP's.

Nun werden also alle unbekannten Anfragen über die Route an den Router der 1. Tür geleitet.
Folglich muss dieser wissen, an welche IP er denn nun die Anfragen für das VPN weiterleiten soll.

Nochmal zur Erklärung:
In der Route wird die IP des Zielrechners mit der zu verwendenden Tür (eigene IP) eingetragen.
Es kann nur eine Default-Route geben.

Für das 2. Teilnetz ist also als HOP der VPN-Router gezielt einzutragen, der selber natürlich seine Routen über das VPN kennen muss:
*DFTROUTE maske 255.0.0.0 an Standardgateway über eigene IP
10.20.1.0 Maske 255.255.255.0 an VPN-Gateway über eigene IP

Die Maske entscheidet, welches Teilnetz an das Gateway geleitet werden.
Die *DFTROUTE wird immer als letzte Entscheidung verwendet.

Die Gegenseite benötigt natürlich auch den Rückweg, also
10.20.0.0 Maske 255.255.255.0 an VPN-Gateway über eigene IP