Есть хост, который должен быть доступен снаружи по RDP, но он находится за натом с динамическим IP. Я решил осуществить следующую схему: поднимаем на целевом хосте VPN-туннель (wireguard) до имеющегося хоста с толстым каналом и белым IP (роутер на OpenWRT), пробрасываем на роутере порт снаружи на хост в подсети wg, PROFIT. Порт пробрасываю так (10.0.0.128 - адрес целевого хоста в подсети wg), но снаружи он filtered. Пробовал не указывать целевую зону, но это ничего не изменило. ЧЯДНТ?

UPD: Плюнул и поднял туннель на клиенте тоже, всё равно так секурнее.