Am nevoie de o configurație specifică de firewall pentru un client openvpn într-un container docker pentru a obține un port de lucru înainte de la openvpn-server?

Am configurat o redirecționare de porturi la furnizorul meu VPN, cum ar fi:

VPN_EXT_IP:60000 --> VPN_INT_CLIENT_IP:60000

Am un docker-compose care arată ceva de genul:

versiune: "3.5"

retele:
  ext:
    nume: ext


Servicii:
  openvpn-client:
    imagine: ghcr.io/wfg/openvpn-client
    container_name: openvpn-client
    cap_add:
      - NET_ADMIN
    dispozitive:
      - /dev/net/tun
    volume:
      ...
    retele:
      - ext


  rutorrent:
    imagine: crazymax/rtorrent-rutorrent:3.10-0.9.8-0.13.8
    container_name: rutorrent
    restart: „dacă nu este oprit”
    oprire_grace_period: 10m
    mediu inconjurator:
      - TZ=Europa/Berlin
      - PUID=1000
      - PGID=1000
      - RT_INC_PORT=60000
      - RT_DHT_PORT=60001
    depinde de:
        - openvpn-client
    network_mode: „serviciu:openvpn-client”
    volume:
      ...

Portul de intrare 60000 pare să fie închis. Am suspectat routerul meu OpenWrt (containerele docker rulează în spatele NAT) și am instalat kmod-nf-nathelper-extra, dar nu a ajutat. Conexiunea VPN în sine funcționează, dar conexiunile de intrare (care nu sunt STABILITE) nu funcționează.

Sunt un pic pierdut și la limita cunoștințelor mele de rețea. Mă aștept să funcționeze totul, deoarece clientul VPN stabilește o conexiune la serverul VPN pe OPENWRT_PUB_IP:NAT_PORT (NAT, deci NAT_PORT este aleatoriu); Openwrt urmărește conexiunea la VPN_SERVER:VPN_SERVER_PORT și totul prin această conexiune urmărită are permisiunea de a trece firewall. Dar, acest lucru pare să fie valabil doar pentru o conexiune stabilită de la VPN_CLIENT (în tunel), nu invers.