Routing Hetzner Cloud zu VM hinter OPNsense VM auf dedicated Proxmox

Hallo liebe Hetzner-User und Netzwerk-Profis,

ich brauche dringend Hilfe und sehe den Wald vor Bäumen nicht mehr. Ich habe hier folgende Ausgangssituation:

Im Hetzner RZ habe ich einmal eine Cloud-Maschine als auch einen dedizierten Server gemietet.
Auf der Cloud-Maschine soll später eine Nextcloud-Instanz laufen, die sich per LDAPS die User von einem Univention Coroporate Server (UCS) zieht. Der UCS läuft als VM auf dem dedizierten Server unter Proxmox. Daneben eine OPNsense, über die via DNAT sämtlicher Traffic läuft, der nicht auf die öffentliche IP Port 8006 und Port 22 ankommt.

Die Cloud-Maschine und der Proxmox-Host sind über einen vSwitch nach Hetzner Anleitung verbunden. Ich habe ein "Linux VLAN" und daran eine "Linux Bridge" (auf dem Proxmox vmbr5) gebunden, welche wiederum in der OPNsense eingebunden ist.
Ein Ping von der OPNsense zur Cloud-Maschine und vice-versa funktioniert wie gewollt.

Zusätzlich habe ich auf dem Proxmox-Host eine weitere "Linux Bridge" (vmbr6), die ebenfalls an der OPNsense ist. Hier ist der UCS dran. Ein Ping vom UCS in Richtung Cloud-Maschine funktioniert. Von der Cloud-Maschine Richtung UCS jedoch nicht.

Ich war mal ein bisschen künstlerisch tätig und hab mir und euch mal das Machwerk aufgemalt. Ich hab ins Bild auch die Routing-Listen reingeschrieben (vom Proxmox mal abgesehen, das kann ich auf Wunsch nachliefern).

Dennoch hier die mal die IP-Liste:
- Hetzner-Cloud Netzwerk: 10.10.0.0/16
- Cloud-Maschine: 10.10.0.2/24, Gateway 10.10.0.1
- OPNsense E-Cloud: 10.10.1.3/24, Gateway: 10.10.1.1 (vSwitch Hetzner)
- OPNsense E-Ded: 10.10.2.3/24
- UCS-Server (hinter OPNsense): 10.10.2.10/24

Ziel:
Den UCS im 10.10.2.0/24 Netz von der Cloud-Maschine erreichbar machen. Vom UCS aus ist die Cloud-Maschine bereits pingbar.

Grüße
Chris

Nachtrag:
Ich habe jetzt auch mal ein Ticket bei Hetzner eröffnet. Vielleicht haben die Jungs und Mädels da ja noch einen Tipp.