Gansterito

Смотрите у кого из операторов есть короткая связность с Японией. Looking Glass Вам в руки:

• Ростелеком - lg.ip.rt.ru
  
• ВымпелКом - lg.gldn.net
  
• ТрансТелеком - lg.ttk.ru
  
• МТС - lg.mtu.ru
  
• МегаФон - lg.megafon.ru
  

Нашли нужного - подключайтесь к нему.

Это не норма, но и не проблема.
Вы включены в ШПД сегмент Ростелеком, и там наличие серых адресов - норма. Поэтому на доступе трафик на серые IP не ограничивается, улетает куда-то в ядро, и где-то может даже найти своего получателя.

Бывают случаи, когда из-за утечки маршрутов провайдер невольно дает всем желающим доступ в свою корпоративную сеть. Вполне возможно, что хосты, которые вы видите, это компьютер бухгалтера, сетевой принтер, камера видеонаблюдения и т.д.

Впрочем, у крупных провайдеров так не бывает. В этом случае эти адреса висят где-то на интерфейсах маршрутизаторов для каких-либо внутренних задач, и опасности ни Вам, ни оператору не представляют.

1) Виртуалки
2) Использование нескольких Socks-proxy, маршруты до которых прописаны через разные интерфейсы, + соксификатор для каждого приложения.

Было бы неплохо посмотреть на обратную трассировку. Есть возможность ее сделать со стороны Hetzner?

Не видят друг друга IP-адреса 192.168.1.3 и 192.168.2.3?
Или вы хотите, чтобы они видели друг друга по адресам из сети 172.16.1.0/24?

Физические порты падают или только пакеты перестают бегать?
Касается всех подключенных устройств во всех VLAN-ах, или только некоторые?

Закрыть нужно всё, что не разрешено явно.
Явно нужно разрешить входящие (цепочка INPUT) пакеты из локальной сети, из доверенных IP-адресов для удаленного управления, а также пакеты, имеющие отношение к уже установленным соединениям. Остальное - резать.

Сделать каждый из сегментов (vlan30, 40, 50) в своем VRF.
Оба шлюза также поместить в отдельный VRF.
Настроить между VRF-ами (всего их 5) route leaking в соответствии с правилами маршрутизации.

Source-адрес будет выбран по умолчанию с того интерфейса, через который идет маршрут до нужного узла.
Если на интерфейсе несколько IP-адресов, то берется тот, что первый (primary).
Если в используемой программе есть возможность указать IP-адрес источника запросов, то с этого адреса и пойдут IP-пакеты.
Утилита чтобы посмотреть трафик - tcpdump (linux, freebsd), wireshark (linux, windows).

Можно предложить три варианта:
1) Сам роутер Zyxel актуализирует список занятых устройств (включенных, например, мимо DHCP);
2) Кто-то за пределами роутера пытается "достучаться" до ваших внутренних адресов;
3) Кто-то изнутри роутера (а там внутри Linux со всем окружением + shell) пытается найти что-либо для своего дальнейшего "проникновения" и "закрепления" на вашей сети.

За последние пару дней слышал о какой-то аномальной активности абонентов с роутерами Zyxel, однако, подтверждения этому не было. На всякий случай отключите роутер от внешней сети, посмотрите на активность. Можно сбросить к заводским настройкам, обновить прошивку до последней и, не подключая к сети, проверить наличие who has запросов. Но это уже на любителя.