сетевых извращений вопрос
Привет всем. Прошу совета, можно без подробностей - просто куда копать и какой лопатой.

Условия: есть маршрутизатор со статическим белым адресом А, за ним NAT и два не очень надёжных сервера (Вася и Петя) некого приложения с серыми адресами 192.168.0.*/24. Приложение запускается и работает только с адреса А, к нему привязана лицензия.
Имеется виртуальный сервер (Джо) со статическим белым адресом Б, на который я накатил это же приложение. Вся троица работает на дебиане.
Задача: желаю нагрузить Джо полезной человечеству и заказчику работой, продемонстрировать заказчику стабильную работу и утащить приложение целиком в облака, забыв про Петю и Васю. То есть нужен временный костыль.
Первой мыслю был VPN, сам маршрутизатор мало что умеет. На сервере Петя был поднят OpenVPN в режиме сервера, на Джо - то же самое в виде клиента, с практически дефолтными настройками, при соединени с сервером VPN Джо получает интерфейс tun0 10.8.0.3, новый дефолтный шлюз и приложение ломится в сеть через маршрутизатор с адреса А. Лицензия работает, счастье так близко.
Но. Для работы под нагрузкой приложению нужна связь с Васей и Петей (отказоустойчивость) и проброс нескольки портов (не очень умный маршрутизатор умеет пробрасывать только на адреса 192.168.0.* и никак иначе). То есть неуловимому Джо нужен адрес типа 192.168.0.3 помимо своего белого адреса Б, и так чтобы его в серой сети видели и Вася, и Петя, и маршрутизатор.
Если изменить настройки сервера openvpn на адреса 192.168.0.* - то он себе возьмёт 192.168.0.1, а это маршрутизатор.
Видимо, нужен мост, но какой и как городить, всмысле какие интерфейсы лепить? Конфиг моста писать жестко в /etc/network/interfaces или скриптом поднимать мост? Для Джо алиас нужен под серую сетку (ему ж нельзя свой белый ip терять)?
Или вовсе не мост нужен, а алиас 192.168.0.3 на Пете и форвардинг всего на Джо?