Metal Messiah, через GRE, конечно же, либо можно сделать wireguard туннель, если сервер за NAT. Можно вообще анонсить вашу подсеть по BGP и прокинуть её через GRE полностью, на какой-то ваш маршрутизатор. Вопрос потребностей и готовности к оплате.
Сейчас я готов протестировать это без каких-либо оплат и туннелей, если есть желающие "поддосить" и проверить саму фильтрацию, в каких-то местах может допилить её.