Есть слаааабенькая догадка что нужно тегировать входящий порт, и принимать белые вдреса с метками. И vlan-ом уже как то принимать. VLAN должен быть связан с входящим ETH у меня. Вроде бы. Но эт только догадка и очень смутная.
они наверняка не захотят тебе каждый айпишник в отдельный влан паковать
Насчёт паковать - ну у меня очень хорошие отношения с магистралом. Думаю что упакуют. А почему не прокатывает с NAT - причина проста. Ебанутые некоторые сисадмины некоторых абонов.